Autorisations et exemples pour les AWS CodeStar notifications

Les déclarations de politique et les exemples suivants peuvent vous aider à gérer les AWS CodeStar notifications.

Autorisations liées aux notifications dans les stratégies gérées d'accès complet

Les politiques FullAccess gérées AWSCodeCommitFullAccessAWSCodeBuildAdminAccessAWSCodeDeployFullAccess,, et AWSCodePipeline_ incluent les instructions suivantes pour permettre un accès complet aux notifications dans la console Developer Tools. Les utilisateurs auxquels l'une de ces politiques gérées est appliquée peuvent également créer et gérer des SNS sujets Amazon pour les notifications, abonner et désinscrire des utilisateurs à des sujets, et répertorier les sujets à choisir comme cibles pour les règles de notification.

Note

Dans la stratégie gérée, la clé de condition codestar-notifications:NotificationsForResource a une valeur spécifique au type de ressource du service. Par exemple, dans la politique d'accès complet pour CodeCommit, la valeur estarn:aws:codecommit:*.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:SetTopicAttributes"
        ],
        "Resource": "arn:aws:sns:*:*:codestar-notifications*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Autorisations liées aux notifications dans les stratégies gérées en lecture seule

Les politiques ReadOnlyAccess gérées AWSCodeCommitReadOnlyAccessAWSCodeBuildReadOnlyAccessAWSCodeDeployReadOnlyAccess,, et AWSCodePipeline_ incluent les instructions suivantes pour autoriser l'accès en lecture seule aux notifications. Par exemple, elles peuvent afficher des notifications pour les ressources dans la console Outils pour développeurs, mais ne peuvent pas les créer, les gérer ou s'y abonner.

Note

Dans la stratégie gérée, la clé de condition codestar-notifications:NotificationsForResource a une valeur spécifique au type de ressource du service. Par exemple, dans la politique d'accès complet pour CodeCommit, la valeur estarn:aws:codecommit:*.

   {
        "Sid": "CodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:DescribeNotificationRule"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListEventTypes",
            "codestar-notifications:ListTargets"
        ],
        "Resource": "*"
    }

Autorisations liées aux notifications dans d'autres stratégies gérées

Les politiques AWSCodeCommitPowerUserAWSCodeBuildDeveloperAccess, et AWSCodeBuildDeveloperAccessgérées incluent les instructions suivantes pour permettre aux développeurs appliquant l'une de ces politiques gérées de créer, de modifier et de s'abonner à des notifications. Ils ne peuvent pas supprimer les règles de notification ni gérer les balises pour les ressources.

Note

Dans la stratégie gérée, la clé de condition codestar-notifications:NotificationsForResource a une valeur spécifique au type de ressource du service. Par exemple, dans la politique d'accès complet pour CodeCommit, la valeur estarn:aws:codecommit:*.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Exemple : politique de gestion des notifications au niveau de l'administrateur AWS CodeStar

Dans cet exemple, vous souhaitez accorder à un IAM utilisateur de votre AWS compte un accès complet aux AWS CodeStar notifications afin qu'il puisse consulter les détails des règles de notification et répertorier les règles de notification, les cibles et les types d'événements. Vous souhaitez également autoriser l'utilisateur à ajouter, mettre à jour et supprimer des règles de notification. Il s'agit d'une politique d'accès complet, équivalente aux autorisations de notification incluses dans les politiques FullAccess gérées par AWSCodeBuildAdminAccessAWSCodeCommitFullAccessAWSCodeDeployFullAccess,, et AWSCodePipeline_. À l'instar de ces politiques gérées, vous ne devez associer ce type de déclaration de politique qu'aux IAM utilisateurs, aux groupes ou aux rôles qui nécessitent un accès administratif complet aux notifications et aux règles de notification de votre AWS compte.

Note

Cette stratégie contient les autorisations CreateNotificationRule. Tout utilisateur dont cette politique est appliquée à son IAM utilisateur ou à son rôle pourra créer des règles de notification pour tous les types de ressources pris en charge par les AWS CodeStar notifications dans le AWS compte, même s'il n'a pas accès à ces ressources lui-même. Par exemple, un utilisateur appliquant cette politique peut créer une règle de notification pour un CodeCommit référentiel sans être autorisé à y CodeCommit accéder.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "AWSCodeStarNotificationsFullAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe",
            "codestar-notifications:DeleteTarget",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:TagResource",
            "codestar-notifications:UntagResource"
        ],
        "Resource": "*"
     }
   ]
}

Exemple : politique au niveau du contributeur pour l'utilisation des notifications AWS CodeStar

Dans cet exemple, vous souhaitez autoriser l'accès à l' day-to-dayutilisation des AWS CodeStar notifications, telles que la création de notifications et l'abonnement à celles-ci, mais pas à des actions plus destructrices, telles que la suppression de règles ou de cibles de notification. C'est l'équivalent de l'accès fourni dans les politiques AWSCodeBuildDeveloperAccessAWSCodeDeployDeveloperAccess, et AWSCodeCommitPowerUsergérées.

Note

Cette stratégie contient les autorisations CreateNotificationRule. Tout utilisateur dont cette politique est appliquée à son IAM utilisateur ou à son rôle pourra créer des règles de notification pour tous les types de ressources pris en charge par les AWS CodeStar notifications dans le AWS compte, même s'il n'a pas accès à ces ressources lui-même. Par exemple, un utilisateur appliquant cette politique peut créer une règle de notification pour un CodeCommit référentiel sans être autorisé à y CodeCommit accéder.

{
    "Version": "2012-10-17",
    "Sid": "AWSCodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource"
        ],
        "Resource": "*"
        }
    ]
}

Exemple : read-only-level politique d'utilisation AWS CodeStar des notifications

Dans cet exemple, vous souhaitez accorder à un IAM utilisateur de votre compte un accès en lecture seule aux règles de notification, aux cibles et aux types d'événements de votre AWS compte. Cet exemple montre comment créer une stratégie qui permet d'afficher ces éléments. Cela équivaut aux autorisations incluses dans le cadre des politiques ReadOnlyAccess gérées par AWSCodeBuildReadOnlyAccessAWSCodeCommitReadOnly,, et AWSCodePipeline_.

{
    "Version": "2012-10-17",
    "Id": "CodeNotification__ReadOnly",
    "Statement": [
        {
            "Sid": "Reads_API_Access",
            "Effect": "Allow",
            "Action": [
                "CodeNotification:DescribeNotificationRule",
                "CodeNotification:ListNotificationRules",
                "CodeNotification:ListTargets",
                "CodeNotification:ListEventTypes"
            ],
            "Resource": "*"
        }
    ]
}