Kebijakan yang dikelola oleh AWS untuk AWS CodePipeline

Untuk menambahkan izin ke para pengguna, grup, dan peran, akan lebih mudah menggunakan kebijakan terkelola AWS dibandingkan dengan menulis kebijakan sendiri. Dibutuhkan waktu dan keahlian untuk membuat kebijakan terkelola pelanggan IAM yang hanya menyediakan izin sesuai kebutuhan tim Anda. Untuk mulai dengan cepat, Anda dapat menggunakan kebijakan-kebijakan terkelola AWS kami. Kebijakan ini mencakup kasus penggunaan umum dan tersedia di akun Akun AWS Anda. Untuk informasi lebih lanjut tentang kebijakan terkelola AWS, lihat kebijakan terkelola AWS di Panduan Pengguna IAM.

Layanan AWSmemelihara dan memperbarui kebijakan yang AWS dikelola. Anda tidak dapat mengubah izin yang ada dalam kebijakan-kebijakan yang dikelola AWS. Layanan terkadang menambahkan izin tambahan ke kebijakan yang dikelola AWS untuk mendukung fitur-fitur baru. Jenis pembaruan ini akan memengaruhi semua identitas (pengguna, grup, dan peran) di mana kebijakan tersebut dilampirkan. Layanan kemungkinan besar akan memperbarui kebijakan yang dikelola AWS saat ada fitur baru yang diluncurkan atau saat ada operasi baru yang tersedia. Layanan tidak menghapus izin yang ada di kebijakan yang dikelola AWS, sehingga pembaruan-pembaruan yang terjadi pada kebijakan tidak akan membuat izin yang ada rusak.

Selain itu, AWS mendukung kebijakan-kebijakan terkelola untuk fungsi tugas yang mencakup beberapa layanan. Misalnya, kebijakan ViewOnlyAccess AWS terkelola menyediakan akses hanya-baca ke banyak Layanan AWS dan sumber daya. Saat layanan meluncurkan fitur baru, AWS menambahkan izin hanya-baca untuk operasi dan sumber daya yang baru. Untuk melihat daftar dan deskripsi dari kebijakan-kebijakan fungsi tugas, lihat kebijakan terkelola AWS untuk fungsi tugas di Panduan Pengguna IAM.

penting

Kebijakan yang dikelola AWS AWSCodePipelineFullAccess dan AWSCodePipelineReadOnlyAccess telah diganti. Gunakan AWSCodePipeline_FullAccess dan AWSCodePipeline_ReadOnlyAccess kebijakan.

Kebijakan terkelola AWS: AWSCodePipeline_FullAccess

Ini adalah kebijakan yang memberikan akses penuh keCodePipeline. Untuk melihat dokumen kebijakan JSON di konsol IAM, lihat. AWSCodePipeline_FullAccess

Rincian perizinan

Kebijakan ini mencakup izin berikut.

• codepipeline- Memberikan izin untuk. CodePipeline

• chatbot- Memberikan izin untuk memungkinkan prinsipal mengelola sumber daya di. AWS Chatbot

• cloudformation- Memberikan izin untuk memungkinkan prinsipal mengelola tumpukan sumber daya di. AWS CloudFormation

• cloudtrail- Memberikan izin untuk memungkinkan prinsipal mengelola sumber daya logging di. CloudTrail

• codebuild- Memberikan izin untuk memungkinkan prinsipal mengakses sumber daya build di. CodeBuild

• codecommit- Memberikan izin untuk memungkinkan prinsipal mengakses sumber daya sumber daya di. CodeCommit

• codedeploy- Memberikan izin untuk memungkinkan prinsipal mengakses sumber daya penyebaran di. CodeDeploy

• codestar-notifications— Memberikan izin untuk mengizinkan prinsipal mengakses sumber daya di Notifikasi AWS. CodeStar

• ec2- Memberikan izin untuk memungkinkan penerapan CodeCatalyst untuk mengelola penyeimbangan beban elastis di Amazon EC2.

• ecr— Memberikan izin untuk mengizinkan akses ke sumber daya di Amazon ECR.

• elasticbeanstalk- Memberikan izin untuk memungkinkan prinsipal mengakses sumber daya di Elastic Beanstalk.

• iam- Memberikan izin untuk memungkinkan prinsipal mengelola peran dan kebijakan dalam IAM.

• lambda— Memberikan izin untuk memungkinkan prinsipal mengelola sumber daya di Lambda.

• events- Memberikan izin untuk memungkinkan prinsipal mengelola sumber daya di Acara. CloudWatch

• opsworks- Memberikan izin untuk memungkinkan prinsipal mengelola sumber daya di. AWS OpsWorks

• s3— Memberikan izin untuk mengizinkan prinsipal mengelola sumber daya di Amazon S3.

• sns— Memberikan izin untuk mengizinkan prinsipal mengelola sumber daya notifikasi di Amazon SNS.

• states- Memberikan izin untuk memungkinkan prinsipal melihat mesin negara di. AWS Step Functions Mesin negara terdiri dari kumpulan negara yang mengelola tugas dan transisi antar negara.

{
    "Statement": [
        {
            "Action": [
                "codepipeline:*",
                "cloudformation:DescribeStacks",
                "cloudformation:ListChangeSets",
                "cloudtrail:DescribeTrails",
                "codebuild:BatchGetProjects",
                "codebuild:CreateProject",
                "codebuild:ListCuratedEnvironmentImages",
                "codebuild:ListProjects",
                "codecommit:ListBranches",
                "codecommit:GetReferences",
                "codecommit:ListRepositories",
                "codedeploy:BatchGetDeploymentGroups",
                "codedeploy:ListApplications",
                "codedeploy:ListDeploymentGroups",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecs:ListClusters",
                "ecs:ListServices",
                "elasticbeanstalk:DescribeApplications",
                "elasticbeanstalk:DescribeEnvironments",
                "iam:ListRoles",
                "iam:GetRole",
                "lambda:ListFunctions",
                "events:ListRules",
                "events:ListTargetsByRule",
                "events:DescribeRule",
                "opsworks:DescribeApps",
                "opsworks:DescribeLayers",
                "opsworks:DescribeStacks",
                "s3:ListAllMyBuckets",
                "sns:ListTopics",
                "codestar-notifications:ListNotificationRules",
                "codestar-notifications:ListTargets",
                "codestar-notifications:ListTagsforResource",
                "codestar-notifications:ListEventTypes",
                "states:ListStateMachines"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketPolicy",
                "s3:GetBucketVersioning",
                "s3:GetObjectVersion",
                "s3:CreateBucket",
                "s3:PutBucketPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3::*:codepipeline-*"
        },
        {
            "Action": [
                "cloudtrail:PutEventSelectors",
                "cloudtrail:CreateTrail",
                "cloudtrail:GetEventSelectors",
                "cloudtrail:StartLogging"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:cloudtrail:*:*:trail/codepipeline-source-trail"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::*:role/service-role/cwe-role-*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "events.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "codepipeline.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Action": [
                "events:PutRule",
                "events:PutTargets",
                "events:DeleteRule",
                "events:DisableRule",
                "events:RemoveTargets"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:events:*:*:rule/codepipeline-*"
            ]
        },
        {
            "Sid": "CodeStarNotificationsReadWriteAccess",
            "Effect": "Allow",
            "Action": [
                "codestar-notifications:CreateNotificationRule",
                "codestar-notifications:DescribeNotificationRule",
                "codestar-notifications:UpdateNotificationRule",
                "codestar-notifications:DeleteNotificationRule",
                "codestar-notifications:Subscribe",
                "codestar-notifications:Unsubscribe"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "codestar-notifications:NotificationsForResource": "arn:aws:codepipeline:*"
                }
            }
        },
        {
            "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:SetTopicAttributes"
            ],
            "Resource": "arn:aws:sns:*:*:codestar-notifications*"
        },
        {
            "Sid": "CodeStarNotificationsChatbotAccess",
            "Effect": "Allow",
            "Action": [
                "chatbot:DescribeSlackChannelConfigurations",
                "chatbot:ListMicrosoftTeamsChannelConfigurations"
            ],
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

AWSkebijakan terkelola: AWSCodePipeline_ReadOnlyAccess

Ini adalah kebijakan yang memberikan akses hanya-baca. CodePipeline Untuk melihat dokumen kebijakan JSON di konsol IAM, lihat. AWSCodePipeline_ReadOnlyAccess

Rincian perizinan

Kebijakan ini mencakup izin berikut.

• codepipeline- Memberikan izin untuk tindakan di. CodePipeline

• codestar-notifications— Memberikan izin untuk mengizinkan prinsipal mengakses sumber daya di Notifikasi AWS. CodeStar

• s3— Memberikan izin untuk mengizinkan prinsipal mengelola sumber daya di Amazon S3.

• sns— Memberikan izin untuk mengizinkan prinsipal mengelola sumber daya notifikasi di Amazon SNS.

{
    "Statement": [
        {
            "Action": [
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineState",
                "codepipeline:GetPipelineExecution",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListActionExecutions",
                "codepipeline:ListActionTypes",
                "codepipeline:ListPipelines",
                "codepipeline:ListTagsForResource",
                "s3:ListAllMyBuckets",
                "codestar-notifications:ListNotificationRules",
                "codestar-notifications:ListEventTypes",
                "codestar-notifications:ListTargets"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3::*:codepipeline-*"
        },
        {
            "Sid": "CodeStarNotificationsReadOnlyAccess",
            "Effect": "Allow",
            "Action": [
                "codestar-notifications:DescribeNotificationRule"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "codestar-notifications:NotificationsForResource": "arn:aws:codepipeline:*"
                }
            }
        }
    ],
    "Version": "2012-10-17"
}

Kebijakan terkelola AWS: AWSCodePipelineApproverAccess

Ini adalah kebijakan yang memberikan izin untuk menyetujui atau menolak tindakan persetujuan manual. Untuk melihat dokumen kebijakan JSON di konsol IAM, lihat.. AWSCodePipelineApproverAccess

Rincian perizinan

Kebijakan ini mencakup izin berikut.

• codepipeline- Memberikan izin untuk tindakan di. CodePipeline

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineState",
                "codepipeline:GetPipelineExecution",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListPipelines",
                "codepipeline:PutApprovalResult"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Kebijakan terkelola AWS: AWSCodePipelineCustomActionAccess

Ini adalah kebijakan yang memberikan izin untuk membuat tindakan kustom dalam CodePipeline atau mengintegrasikan sumber daya Jenkins untuk membangun atau menguji tindakan. Untuk melihat dokumen kebijakan JSON di konsol IAM, lihat. AWSCodePipelineCustomActionAccess

Rincian perizinan

Kebijakan ini mencakup izin berikut.

• codepipeline- Memberikan izin untuk tindakan di. CodePipeline

{
    "Statement": [
        {
            "Action": [
                "codepipeline:AcknowledgeJob",
                "codepipeline:GetJobDetails",
                "codepipeline:PollForJobs",
                "codepipeline:PutJobFailureResult",
                "codepipeline:PutJobSuccessResult"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

CodePipelinekebijakan dan pemberitahuan terkelola

CodePipelinemendukung pemberitahuan, yang dapat memberi tahu pengguna tentang perubahan penting pada jaringan pipa. Kebijakan terkelola untuk CodePipeline menyertakan pernyataan kebijakan untuk fungsionalitas notifikasi. Untuk informasi selengkapnya, lihat Apa itu notifikasi?.

Izin yang terkait dengan notifikasi dalam kebijakan terkelola akses penuh

Kebijakan yang dikelola ini memberikan izin CodePipeline bersama dengan layanan terkaitCodeCommit,, CodeBuildCodeDeploy, dan Notifikasi AWSCodeStar. Kebijakan ini juga memberikan izin yang Anda perlukan untuk bekerja dengan layanan lain yang terintegrasi dengan jaringan pipa Anda, seperti Amazon S3, Elastic Beanstalk, Amazon EC2, dan. CloudTrail AWS CloudFormation Pengguna dengan kebijakan terkelola ini juga dapat membuat dan mengelola topik Amazon SNS untuk notifikasi, berlangganan dan berhenti berlangganan topik, membuat daftar topik untuk dipilih sebagai target untuk aturan notifikasi, dan membuat daftar klien AWS Chatbot yang dikonfigurasi untuk Slack.

Kebijakan terkelola AWSCodePipeline_FullAccess mencakup pernyataan berikut untuk mengizinkan akses penuh ke notifikasi.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:SetTopicAttributes"
        ],
        "Resource": "arn:aws:sns:*:*:codestar-notifications*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Izin yang terkait dengan notifikasi dalam kebijakan terkelola hanya-baca

Kebijakan terkelola AWSCodePipeline_ReadOnlyAccess mencakup pernyataan berikut untuk mengizinkan akses penuh ke notifikasi. Pengguna dengan kebijakan ini diterapkan dapat melihat pemberitahuan untuk sumber daya, tetapi tidak dapat membuat, mengelola, atau berlangganan mereka.

   {
        "Sid": "CodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:DescribeNotificationRule"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListEventTypes",
            "codestar-notifications:ListTargets"
        ],
        "Resource": "*"
    }

Untuk informasi selengkapnya tentang IAM dan notifikasi, lihat Manajemen Identitas dan Akses untuk AWS CodeStar Pemberitahuan.

AWS CodePipeline memperbarui pada kebijakan terkelola AWS

Lihat detail tentang pembaruan terhadap kebijakan terkelola AWS untuk CodePipeline sejak layanan ini mulai melacak perubahan-perubahan tersebut. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan umpan RSS di halaman Riwayat CodePipeline dokumen.

Perubahan	Deskripsi	Tanggal
AWSCodePipeline_FullAccess- Pembaruan kebijakan yang ada	Kebijakan ini telah diperbarui untuk menambahkan izin. AWS Chatbot Untuk informasi selengkapnya, lihat CodePipelinekebijakan dan pemberitahuan terkelola.	21 Juni 2023
AWSCodePipeline_FullAccessdan kebijakan AWSCodePipeline_ReadOnlyAccessterkelola - Pembaruan kebijakan yang ada	CodePipelinemenambahkan izin ke kebijakan ini untuk mendukung jenis pemberitahuan tambahan menggunakanAWS Chatbot,chatbot:ListMicrosoftTeamsChannelConfigurations.	16 Mei 2023
AWSCodePipelineFullAccess— Usang	Kebijakan ini telah diganti dengan AWSCodePipeline_FullAccess. Setelah 17 November 2022, kebijakan ini tidak dapat dilampirkan ke pengguna, grup, atau peran baru. Untuk informasi selengkapnya, lihat Kebijakan yang dikelola oleh AWS untuk AWS CodePipeline.	November 17, 2022
AWSCodePipelineReadOnlyAccess— Usang	Kebijakan ini telah diganti dengan AWSCodePipeline_ReadOnlyAccess. Setelah 17 November 2022, kebijakan ini tidak dapat dilampirkan ke pengguna, grup, atau peran baru. Untuk informasi selengkapnya, lihat Kebijakan yang dikelola oleh AWS untuk AWS CodePipeline.	November 17, 2022
CodePipeline mulai melacak perubahan	CodePipeline mulai melacak perubahan untuk kebijakan terkelola AWS.	12 Maret 2021