AWS kebijakan terkelola untuk AWS CodePipeline

Kebijakan AWS terkelola adalah kebijakan mandiri yang dibuat dan dikelola oleh AWS. AWS Kebijakan terkelola dirancang untuk memberikan izin bagi banyak kasus penggunaan umum sehingga Anda dapat mulai menetapkan izin kepada pengguna, grup, dan peran.

Perlu diingat bahwa kebijakan AWS terkelola mungkin tidak memberikan izin hak istimewa paling sedikit untuk kasus penggunaan spesifik Anda karena tersedia untuk digunakan semua pelanggan. AWS Kami menyarankan Anda untuk mengurangi izin lebih lanjut dengan menentukan kebijakan yang dikelola pelanggan yang khusus untuk kasus penggunaan Anda.

Anda tidak dapat mengubah izin yang ditentukan dalam kebijakan AWS terkelola. Jika AWS memperbarui izin yang ditentukan dalam kebijakan AWS terkelola, pemutakhiran akan memengaruhi semua identitas utama (pengguna, grup, dan peran) yang dilampirkan kebijakan tersebut. AWS kemungkinan besar akan memperbarui kebijakan AWS terkelola saat baru Layanan AWS diluncurkan atau operasi API baru tersedia untuk layanan yang ada.

Untuk informasi selengkapnya, lihat Kebijakan yang dikelola AWS dalam Panduan Pengguna IAM.

penting

AWS mengelola kebijakan AWSCodePipelineFullAccess dan AWSCodePipelineReadOnlyAccess telah diganti. Gunakan AWSCodePipeline_FullAccess dan AWSCodePipeline_ReadOnlyAccess kebijakan.

AWS kebijakan terkelola: AWSCodePipeline_FullAccess

Ini adalah kebijakan yang memberikan akses penuh ke CodePipeline. Untuk melihat dokumen kebijakan JSON di konsol IAM, lihat. AWSCodePipeline_FullAccess

Detail izin

Kebijakan ini mencakup izin berikut.

• codepipeline— Memberikan izin untuk. CodePipeline

• chatbot— Memberikan izin untuk memungkinkan kepala sekolah mengelola sumber daya di. AWS Chatbot

• cloudformation— Memberikan izin untuk memungkinkan prinsipal mengelola tumpukan sumber daya di. AWS CloudFormation

• cloudtrail— Memberikan izin untuk memungkinkan prinsipal mengelola sumber daya logging di. CloudTrail

• codebuild— Memberikan izin untuk memungkinkan kepala sekolah mengakses sumber daya build di. CodeBuild

• codecommit— Memberikan izin untuk memungkinkan prinsipal mengakses sumber daya sumber di. CodeCommit

• codedeploy— Memberikan izin untuk memungkinkan prinsipal mengakses sumber daya penerapan di. CodeDeploy

• codestar-notifications— Memberikan izin untuk mengizinkan kepala sekolah mengakses sumber daya di Pemberitahuan. AWS CodeStar

• ec2— Memberikan izin untuk mengizinkan penerapan untuk mengelola penyeimbangan beban elastis di CodeCatalyst Amazon EC2.

• ecr— Memberikan izin untuk memungkinkan akses ke sumber daya di Amazon ECR.

• elasticbeanstalk— Memberikan izin untuk memungkinkan prinsipal mengakses sumber daya di Elastic Beanstalk.

• iam— Memberikan izin untuk mengizinkan kepala sekolah mengelola peran dan kebijakan di IAM.

• lambda— Memberikan izin untuk mengizinkan kepala sekolah mengelola sumber daya di Lambda.

• events— Memberikan izin untuk memungkinkan kepala sekolah mengelola sumber daya di Acara. CloudWatch

• opsworks— Memberikan izin untuk memungkinkan kepala sekolah mengelola sumber daya di. AWS OpsWorks

• s3— Memberikan izin untuk mengizinkan prinsipal mengelola sumber daya di Amazon S3.

• sns— Memberikan izin untuk mengizinkan kepala sekolah mengelola sumber daya notifikasi di Amazon SNS.

• states— Memberikan izin untuk memungkinkan kepala sekolah melihat mesin status di. AWS Step Functions Mesin negara terdiri dari kumpulan negara yang mengelola tugas dan transisi antar negara bagian.

{
    "Statement": [
        {
            "Action": [
                "codepipeline:*",
                "cloudformation:DescribeStacks",
                "cloudformation:ListStacks",
                "cloudformation:ListChangeSets",
                "cloudtrail:DescribeTrails",
                "codebuild:BatchGetProjects",
                "codebuild:CreateProject",
                "codebuild:ListCuratedEnvironmentImages",
                "codebuild:ListProjects",
                "codecommit:ListBranches",
                "codecommit:GetReferences",
                "codecommit:ListRepositories",
                "codedeploy:BatchGetDeploymentGroups",
                "codedeploy:ListApplications",
                "codedeploy:ListDeploymentGroups",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecs:ListClusters",
                "ecs:ListServices",
                "elasticbeanstalk:DescribeApplications",
                "elasticbeanstalk:DescribeEnvironments",
                "iam:ListRoles",
                "iam:GetRole",
                "lambda:ListFunctions",
                "events:ListRules",
                "events:ListTargetsByRule",
                "events:DescribeRule",
                "opsworks:DescribeApps",
                "opsworks:DescribeLayers",
                "opsworks:DescribeStacks",
                "s3:ListAllMyBuckets",
                "sns:ListTopics",
                "codestar-notifications:ListNotificationRules",
                "codestar-notifications:ListTargets",
                "codestar-notifications:ListTagsforResource",
                "codestar-notifications:ListEventTypes",
                "states:ListStateMachines"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Sid": "CodePipelineAuthoringAccess"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketPolicy",
                "s3:GetBucketVersioning",
                "s3:GetObjectVersion",
                "s3:CreateBucket",
                "s3:PutBucketPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3::*:codepipeline-*",
            "Sid": "CodePipelineArtifactsReadWriteAccess"
        },
        {
            "Action": [
                "cloudtrail:PutEventSelectors",
                "cloudtrail:CreateTrail",
                "cloudtrail:GetEventSelectors",
                "cloudtrail:StartLogging"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:cloudtrail:*:*:trail/codepipeline-source-trail",
            "Sid": "CodePipelineSourceTrailReadWriteAccess"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::*:role/service-role/cwe-role-*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "events.amazonaws.com"
                    ]
                }
            },
            "Sid": "EventsIAMPassRole"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "codepipeline.amazonaws.com"
                    ]
                }
            },
            "Sid": "CodePipelineIAMPassRole"
        },
        {
            "Action": [
                "events:PutRule",
                "events:PutTargets",
                "events:DeleteRule",
                "events:DisableRule",
                "events:RemoveTargets"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:events:*:*:rule/codepipeline-*"
            ],
            "Sid": "CodePipelineEventsReadWriteAccess"
        },
        {
            "Sid": "CodeStarNotificationsReadWriteAccess",
            "Effect": "Allow",
            "Action": [
                "codestar-notifications:CreateNotificationRule",
                "codestar-notifications:DescribeNotificationRule",
                "codestar-notifications:UpdateNotificationRule",
                "codestar-notifications:DeleteNotificationRule",
                "codestar-notifications:Subscribe",
                "codestar-notifications:Unsubscribe"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "codestar-notifications:NotificationsForResource": "arn:aws:codepipeline:*"
                }
            }
        },
        {
            "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:SetTopicAttributes"
            ],
            "Resource": "arn:aws:sns:*:*:codestar-notifications*"
        },
        {
            "Sid": "CodeStarNotificationsChatbotAccess",
            "Effect": "Allow",
            "Action": [
                "chatbot:DescribeSlackChannelConfigurations",
                "chatbot:ListMicrosoftTeamsChannelConfigurations"
            ],
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

AWS kebijakan terkelola: AWSCodePipeline_ReadOnlyAccess

Ini adalah kebijakan yang memberikan akses hanya-baca ke. CodePipeline Untuk melihat dokumen kebijakan JSON di konsol IAM, lihat. AWSCodePipeline_ReadOnlyAccess

Detail izin

Kebijakan ini mencakup izin berikut.

• codepipeline— Memberikan izin untuk tindakan di. CodePipeline

• codestar-notifications— Memberikan izin untuk mengizinkan kepala sekolah mengakses sumber daya di Pemberitahuan. AWS CodeStar

• s3— Memberikan izin untuk mengizinkan prinsipal mengelola sumber daya di Amazon S3.

• sns— Memberikan izin untuk mengizinkan kepala sekolah mengelola sumber daya notifikasi di Amazon SNS.

{
    "Statement": [
        {
            "Action": [
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineState",
                "codepipeline:GetPipelineExecution",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListActionExecutions",
                "codepipeline:ListActionTypes",
                "codepipeline:ListPipelines",
                "codepipeline:ListTagsForResource",
                "s3:ListAllMyBuckets",
                "codestar-notifications:ListNotificationRules",
                "codestar-notifications:ListEventTypes",
                "codestar-notifications:ListTargets"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3::*:codepipeline-*"
        },
        {
            "Sid": "CodeStarNotificationsReadOnlyAccess",
            "Effect": "Allow",
            "Action": [
                "codestar-notifications:DescribeNotificationRule"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "codestar-notifications:NotificationsForResource": "arn:aws:codepipeline:*"
                }
            }
        }
    ],
    "Version": "2012-10-17"
}

AWS kebijakan terkelola: AWSCodePipelineApproverAccess

Ini adalah kebijakan yang memberikan izin untuk menyetujui atau menolak tindakan persetujuan manual. Untuk melihat dokumen kebijakan JSON di konsol IAM, lihat.. AWSCodePipelineApproverAccess

Detail izin

Kebijakan ini mencakup izin berikut.

• codepipeline— Memberikan izin untuk tindakan di. CodePipeline

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineState",
                "codepipeline:GetPipelineExecution",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListPipelines",
                "codepipeline:PutApprovalResult"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS kebijakan terkelola: AWSCodePipelineCustomActionAccess

Ini adalah kebijakan yang memberikan izin untuk membuat tindakan kustom di CodePipeline atau mengintegrasikan sumber daya Jenkins untuk tindakan build atau pengujian. Untuk melihat dokumen kebijakan JSON di konsol IAM, lihat. AWSCodePipelineCustomActionAccess

Detail izin

Kebijakan ini mencakup izin berikut.

• codepipeline— Memberikan izin untuk tindakan di. CodePipeline

{
    "Statement": [
        {
            "Action": [
                "codepipeline:AcknowledgeJob",
                "codepipeline:GetJobDetails",
                "codepipeline:PollForJobs",
                "codepipeline:PutJobFailureResult",
                "codepipeline:PutJobSuccessResult"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

CodePipeline kebijakan dan pemberitahuan terkelola

CodePipeline mendukung pemberitahuan, yang dapat memberi tahu pengguna tentang perubahan penting pada saluran pipa. Kebijakan terkelola untuk CodePipeline menyertakan pernyataan kebijakan untuk fungsionalitas notifikasi. Untuk informasi selengkapnya, lihat Apa itu notifikasi?.

Izin yang terkait dengan notifikasi dalam kebijakan terkelola akses penuh

Kebijakan terkelola ini memberikan izin untuk CodePipeline bersama dengan layanan CodeCommit, CodeBuild CodeDeploy, dan AWS CodeStar Pemberitahuan terkait. Kebijakan ini juga memberikan izin yang Anda perlukan untuk bekerja dengan layanan lain yang terintegrasi dengan pipeline Anda, seperti Amazon S3, Elastic Beanstalk, Amazon EC2, dan. CloudTrail AWS CloudFormation Pengguna dengan kebijakan terkelola ini juga dapat membuat dan mengelola topik Amazon SNS untuk notifikasi, berlangganan dan berhenti berlangganan topik, membuat daftar topik untuk dipilih sebagai target untuk aturan notifikasi, dan membuat daftar klien AWS Chatbot yang dikonfigurasi untuk Slack.

Kebijakan terkelola AWSCodePipeline_FullAccess mencakup pernyataan berikut untuk mengizinkan akses penuh ke notifikasi.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:SetTopicAttributes"
        ],
        "Resource": "arn:aws:sns:*:*:codestar-notifications*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Izin yang terkait dengan notifikasi dalam kebijakan terkelola hanya-baca

Kebijakan terkelola AWSCodePipeline_ReadOnlyAccess mencakup pernyataan berikut untuk mengizinkan akses penuh ke notifikasi. Pengguna dengan kebijakan ini diterapkan dapat melihat pemberitahuan untuk sumber daya, tetapi tidak dapat membuat, mengelola, atau berlangganan.

   {
        "Sid": "CodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:DescribeNotificationRule"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListEventTypes",
            "codestar-notifications:ListTargets"
        ],
        "Resource": "*"
    }

Untuk informasi selengkapnya tentang IAM dan notifikasi, lihat Identity and Access Management for AWS CodeStar Notifications.

AWS CodePipeline pembaruan kebijakan AWS terkelola

Lihat detail tentang pembaruan kebijakan AWS terkelola CodePipeline sejak layanan ini mulai melacak perubahan ini. Untuk peringatan otomatis tentang perubahan pada halaman ini, berlangganan umpan RSS di halaman Riwayat CodePipeline dokumen.

Perubahan	Deskripsi	Tanggal
AWSCodePipeline_FullAccess— Pembaruan kebijakan yang ada	CodePipeline menambahkan izin ke kebijakan ini untuk ListStacks mendukung AWS CloudFormation.	Maret 15, 2024
AWSCodePipeline_FullAccess— Pembaruan kebijakan yang ada	Kebijakan ini telah diperbarui untuk menambahkan izin untuk AWS Chatbot. Untuk informasi selengkapnya, lihat CodePipeline kebijakan dan pemberitahuan terkelola.	Juni 21, 2023
AWSCodePipeline_FullAccessdan kebijakan AWSCodePipeline_ReadOnlyAccessterkelola - Pembaruan kebijakan yang ada	CodePipeline menambahkan izin ke kebijakan ini untuk mendukung jenis notifikasi tambahan menggunakan AWS Chatbot,chatbot:ListMicrosoftTeamsChannelConfigurations.	16 Mei 2023
AWSCodePipelineFullAccess— Usang	Kebijakan ini telah diganti dengan AWSCodePipeline_FullAccess. Setelah 17 November 2022, kebijakan ini tidak dapat dilampirkan ke pengguna, grup, atau peran baru mana pun. Untuk informasi selengkapnya, lihat AWS kebijakan terkelola untuk AWS CodePipeline.	17 November 2022
AWSCodePipelineReadOnlyAccess— Usang	Kebijakan ini telah diganti dengan AWSCodePipeline_ReadOnlyAccess. Setelah 17 November 2022, kebijakan ini tidak dapat dilampirkan ke pengguna, grup, atau peran baru mana pun. Untuk informasi selengkapnya, lihat AWS kebijakan terkelola untuk AWS CodePipeline.	17 November 2022
CodePipeline mulai melacak perubahan	CodePipeline mulai melacak perubahan untuk kebijakan AWS terkelolanya.	12 Maret 2021