Bagaimana AWS CodeStar Bekerja dengan IAM

Sebelum Anda menggunakan IAM untuk mengelola akses ke AWS CodeStar, Anda harus memahami fitur IAM apa yang tersedia untuk digunakan dengan AWS. CodeStar Untuk mendapatkan tampilan tingkat tinggi tentang cara AWS CodeStar dan AWS layanan lainnya bekerja dengan IAM, lihat AWS Layanan yang Bekerja dengan IAM di Panduan Pengguna IAM.

Kebijakan Berbasis CodeStar Identitas AWS

Dengan kebijakan berbasis identitas IAM, Anda dapat menentukan tindakan dan sumber daya yang diizinkan atau ditolak serta kondisi di mana tindakan diizinkan atau ditolak. AWS CodeStar membuat beberapa kebijakan berbasis identitas atas nama Anda, yang memungkinkan AWS CodeStar untuk membuat dan mengelola sumber daya dalam lingkup proyek. AWS CodeStar AWS CodeStar mendukung tindakan, sumber daya, dan kunci kondisi tertentu. Untuk mempelajari semua elemen yang Anda gunakan dalam kebijakan JSON, lihat Referensi Elemen Kebijakan JSON IAM dalam Panduan Pengguna IAM.

Tindakan

Administrator dapat menggunakan kebijakan AWS JSON untuk menentukan siapa yang memiliki akses ke apa. Artinya, prinsipal manakah yang dapat melakukan tindakan pada sumber daya apa, dan dengan kondisi apa.

Elemen Action dari kebijakan JSON menjelaskan tindakan yang dapat Anda gunakan untuk mengizinkan atau menolak akses dalam sebuah kebijakan. Tindakan kebijakan biasanya memiliki nama yang sama dengan operasi AWS API terkait. Ada beberapa pengecualian, misalnya tindakan hanya izin yang tidak memiliki operasi API yang cocok. Ada juga beberapa operasi yang memerlukan beberapa tindakan dalam suatu kebijakan. Tindakan tambahan ini disebut tindakan dependen.

Menyertakan tindakan dalam kebijakan untuk memberikan izin untuk melakukan operasi terkait.

Tindakan kebijakan di AWS CodeStar menggunakan awalan berikut sebelum tindakan:codestar:. Misalnya, untuk mengizinkan pengguna IAM tertentu mengedit atribut AWS CodeStar proyek, seperti deskripsi proyeknya, Anda dapat menggunakan pernyataan kebijakan berikut:

{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codestar:UpdateProject"
      ],
      "Resource" : "arn:aws:codestar:us-east-2:project/my-first-projec"
    }
  ]
}

Pernyataan kebijakan harus memuat elemen Action atau NotAction. AWS CodeStar mendefinisikan serangkaian tindakannya sendiri yang menjelaskan tugas yang dapat Anda lakukan dengan layanan ini.

Untuk menetapkan beberapa tindakan dalam satu pernyataan, pisahkan dengan koma seperti berikut:

"Action": [
      "codestar:action1",
      "codestar:action2"

Anda dapat menentukan beberapa tindakan menggunakan wildcard (*). Sebagai contoh, untuk menentukan semua tindakan yang dimulai dengan kata List, sertakan tindakan berikut:

"Action": "codestar:List*"

Untuk melihat daftar CodeStar tindakan AWS, lihat Tindakan yang Ditentukan oleh AWS CodeStar di Panduan Pengguna IAM.

Sumber daya

Administrator dapat menggunakan kebijakan AWS JSON untuk menentukan siapa yang memiliki akses ke apa. Artinya, prinsipal manakah yang dapat melakukan tindakan pada sumber daya apa, dan dengan kondisi apa.

Elemen kebijakan JSON Resource menentukan objek yang menjadi target penerapan tindakan. Pernyataan harus menyertakan elemen Resource atau NotResource. Praktik terbaiknya, tentukan sumber daya menggunakan Amazon Resource Name (ARN). Anda dapat melakukan ini untuk tindakan yang mendukung jenis sumber daya tertentu, yang dikenal sebagai izin tingkat sumber daya.

Untuk tindakan yang tidak mendukung izin di tingkat sumber daya, misalnya operasi pencantuman, gunakan wildcard (*) untuk menunjukkan bahwa pernyataan tersebut berlaku untuk semua sumber daya.

"Resource": "*"

Sumber daya AWS CodeStar proyek memiliki ARN berikut:

arn:aws:codestar:region:account:project/resource-specifier

Untuk informasi selengkapnya tentang format ARN, lihat Nama Sumber Daya Amazon (ARN) dan Ruang Nama AWS Layanan.

Misalnya, berikut ini menentukan AWS CodeStar proyek bernama my-first-projec terdaftar ke AWS akun 111111111111 di AWS Wilayahus-east-2:

arn:aws:codestar:us-east-2:111111111111:project/my-first-projec

Berikut ini menentukan setiap AWS CodeStar proyek yang dimulai dengan nama yang my-proj terdaftar ke AWS akun 111111111111 di AWS Wilayahus-east-2:

arn:aws:codestar:us-east-2:111111111111:project/my-proj*

Beberapa CodeStar tindakan AWS, seperti untuk mencantumkan proyek, tidak dapat dilakukan pada sumber daya. Dalam kasus tersebut, Anda harus menggunakan wildcard (*).

"LisProjects": "*"

Untuk melihat daftar jenis CodeStar sumber daya AWS dan ARNnya, lihat Sumber Daya yang Ditentukan oleh AWS CodeStar di Panduan Pengguna IAM. Untuk mempelajari tindakan mana yang dapat Anda tentukan ARN dari setiap sumber daya, lihat Tindakan yang Ditentukan oleh AWS. CodeStar

Kunci kondisi

AWS CodeStar tidak menyediakan kunci kondisi khusus layanan apa pun, tetapi mendukung penggunaan beberapa kunci kondisi global. Untuk melihat semua kunci kondisi AWS global, lihat Kunci Konteks Kondisi AWS Global di Panduan Pengguna IAM.

Contoh

Untuk melihat contoh kebijakan CodeStar berbasis identitas AWS, lihat. Contoh Kebijakan CodeStar Berbasis Identitas AWS

Kebijakan Berbasis CodeStar Sumber Daya AWS

AWS CodeStar tidak mendukung kebijakan berbasis sumber daya.

Otorisasi Berdasarkan Tag AWS CodeStar

Anda dapat melampirkan tag ke CodeStar proyek AWS atau meneruskan tag dalam permintaan ke AWS CodeStar. Untuk mengendalikan akses berdasarkan tag, berikan informasi tentang tag di elemen kondisi dari kebijakan menggunakan kunci kondisi codestar:ResourceTag/key-name, aws:RequestTag/key-name, atau aws:TagKeys. Untuk informasi selengkapnya tentang menandai CodeStar sumber daya AWS, lihatBekerja dengan Tag Proyek di AWS CodeStar.

Untuk melihat contoh kebijakan berbasis identitas untuk membatasi akses ke AWS CodeStar proyek berdasarkan tag pada proyek tersebut, lihat. Melihat CodeStar Proyek AWS Berdasarkan Tag

Peran AWS CodeStar IAM

Peran IAM adalah entitas di AWS akun Anda yang memiliki izin tertentu.

Anda dapat menggunakan AWS CodeStar sebagai pengguna IAM, pengguna federasi, pengguna root, atau peran yang diasumsikan. Semua jenis pengguna dengan izin yang sesuai dapat mengelola izin proyek ke AWS sumber daya mereka, tetapi AWS CodeStar mengelola izin proyek secara otomatis untuk pengguna IAM. Kebijakan dan peran IAM memberikan izin dan akses ke pengguna tersebut berdasarkan peran proyek. Anda dapat menggunakan konsol IAM untuk membuat kebijakan lain yang menetapkan AWS CodeStar dan izin lainnya ke pengguna IAM.

Misalnya, Anda mungkin ingin mengizinkan pengguna untuk melihat, tetapi tidak mengubah, sebuah AWS CodeStar proyek. Dalam hal ini, Anda menambahkan pengguna IAM ke AWS CodeStar proyek dengan peran penampil. Setiap AWS CodeStar proyek memiliki serangkaian kebijakan yang membantu Anda mengontrol akses ke proyek. Selain itu, Anda dapat mengontrol pengguna mana yang memiliki akses AWS CodeStar.

AWS CodeStar akses ditangani secara berbeda untuk pengguna IAM dan pengguna federasi. Hanya pengguna IAM yang dapat ditambahkan ke tim. Untuk memberikan izin kepada pengguna IAM ke proyek, Anda menambahkan pengguna ke tim proyek dan menetapkan peran kepada pengguna. Untuk memberikan izin pengguna federasi ke proyek, Anda secara manual melampirkan kebijakan terkelola peran AWS CodeStar proyek ke peran pengguna federasi.

Tabel ini merangkum alat yang tersedia untuk setiap jenis akses.

Fitur izin	Pengguna IAM	Pengguna federasi	Pengguna root
Manajemen kunci SSH untuk akses jarak jauh untuk proyek Amazon EC2 dan Elastic Beanstalk
AWS CodeCommit Akses SSH
Izin pengguna IAM dikelola oleh AWS CodeStar
Izin proyek dikelola secara manual
Pengguna dapat ditambahkan ke proyek sebagai anggota tim

Akses pengguna IAM ke AWS CodeStar

Ketika Anda menambahkan pengguna IAM ke proyek dan memilih peran untuk pengguna, AWS CodeStar menerapkan kebijakan yang sesuai untuk pengguna IAM secara otomatis. Untuk pengguna IAM, Anda tidak perlu melampirkan atau mengelola kebijakan atau izin secara langsung di IAM. Untuk informasi tentang menambahkan pengguna IAM ke AWS CodeStar proyek, lihatMenambahkan Anggota Tim ke AWS CodeStar Proyek . Untuk informasi tentang menghapus pengguna IAM dari AWS CodeStar proyek, lihatMenghapus Anggota Tim dari AWS CodeStar Proyek .

Lampirkan Kebijakan Inline ke pengguna IAM

Saat Anda menambahkan pengguna ke proyek, AWS CodeStar secara otomatis melampirkan kebijakan terkelola untuk proyek yang cocok dengan peran pengguna. Anda tidak boleh melampirkan kebijakan AWS CodeStar terkelola proyek secara manual ke pengguna IAM. Dengan pengecualianAWSCodeStarFullAccess, kami tidak menyarankan Anda melampirkan kebijakan yang mengubah izin pengguna IAM dalam proyek. AWS CodeStar Jika Anda memutuskan untuk membuat dan melampirkan kebijakan Anda sendiri, lihat Menambahkan dan Menghapus Izin Identitas IAM di Panduan Pengguna IAM.

Akses Pengguna Federasi ke AWS CodeStar

Alih-alih membuat pengguna IAM atau menggunakan pengguna root, Anda dapat menggunakan identitas pengguna dari AWS Directory Service, direktori pengguna perusahaan Anda, penyedia identitas web, atau pengguna IAM yang mengambil peran. Akses ini dikenal sebagai pengguna gabungan.

Berikan akses kepada pengguna federasi ke AWS CodeStar project Anda dengan melampirkan kebijakan terkelola yang dijelaskan secara manual dalam Kebijakan dan Izin AWS CodeStar Tingkat Proyek ke peran IAM pengguna. Anda melampirkan kebijakan pemilik, kontributor, atau penampil setelah AWS CodeStar membuat sumber daya proyek dan peran IAM Anda.

Prasyarat:

• Anda harus telah menyiapkan penyedia identitas. Misalnya, Anda dapat mengatur penyedia identitas SAMP dan mengatur AWS otentikasi melalui penyedia. Untuk informasi selengkapnya tentang menyiapkan penyedia identitas, lihat Membuat Penyedia Identitas IAM. Untuk informasi lebih lanjut tentang federasi SAMP, lihat Tentang Federasi berbasis SAMP 2.0.

• Anda harus telah membuat peran bagi pengguna federasi untuk berasumsi ketika akses diminta melalui penyedia identitas. Kebijakan kepercayaan STS harus dilampirkan pada peran yang memungkinkan pengguna federasi untuk mengambil peran tersebut. Untuk informasi pengguna gabungan lebih lanjut, lihat Pengguna dan Peran Gabungan dalam Panduan Pengguna IAM.

• Anda harus telah membuat AWS CodeStar proyek Anda dan mengetahui ID proyek.

Untuk informasi selengkapnya tentang membuat peran bagi penyedia identitas, lihat Membuat Peran untuk Penyedia Identitas Pihak Ketiga (Federasi).

Lampirkan Kebijakan AWSCodeStarFullAccess Terkelola ke Peran Pengguna Federasi

Berikan izin pengguna federasi untuk membuat proyek dengan melampirkan kebijakan terkelola. AWSCodeStarFullAccess Untuk melakukan langkah-langkah ini, Anda harus masuk ke konsol baik sebagai pengguna root, pengguna administrator di akun, atau pengguna IAM atau pengguna gabungan dengan kebijakan AdministratorAccess terkelola terkait atau yang setara.

catatan

Setelah Anda membuat proyek, izin pemilik proyek Anda tidak diterapkan secara otomatis. Menggunakan peran dengan izin administratif untuk akun Anda, lampirkan kebijakan yang dikelola pemilik, seperti yang dijelaskan dalamLampirkan Kebijakan Terkelola AWS CodeStar Pemirsa/Kontributor/Pemilik Proyek Anda ke Peran Pengguna Federasi.

1. Buka konsol IAM. Di panel navigasi, pilih Kebijakan.

2. Masukkan AWSCodeStarFullAccess di bidang pencarian. Nama kebijakan ditampilkan, dengan jenis kebijakan yang AWS dikelola. Anda dapat memperluas kebijakan untuk melihat izin di pernyataan kebijakan.

3. Pilih lingkaran di sebelah kebijakan, lalu di bawah Tindakan kebijakan, pilih Lampirkan.

4. Pada halaman Ringkasan, pilih tab Entitas terlampir. Pilih Lampirkan.

5. Pada halaman Lampirkan Kebijakan, filter untuk peran pengguna federasi di bidang pencarian. Pilih kotak di samping nama peran, lalu pilih Lampirkan kebijakan. Tab Entitas terlampir menampilkan lampiran baru.

Lampirkan Kebijakan Terkelola AWS CodeStar Pemirsa/Kontributor/Pemilik Proyek Anda ke Peran Pengguna Federasi

Berikan pengguna gabungan akses ke proyek Anda dengan melampirkan kebijakan yang dikelola pemilik, kontributor, atau penampil yang sesuai ke peran pengguna. Kebijakan terkelola memberikan tingkat izin yang sesuai. Tidak seperti pengguna IAM, Anda harus melampirkan dan melepaskan kebijakan terkelola secara manual untuk pengguna federasi. Ini setara dengan menetapkan izin proyek kepada anggota tim di. AWS CodeStar Untuk melakukan langkah-langkah ini, Anda harus masuk ke konsol baik sebagai pengguna root, pengguna administrator di akun, atau pengguna IAM atau pengguna gabungan dengan kebijakan AdministratorAccess terkelola terkait atau yang setara.

Prasyarat:

• Anda harus telah membuat peran atau memiliki peran yang sudah ada yang diasumsikan oleh pengguna federasi Anda.

• Anda harus tahu tingkat izin yang ingin Anda berikan. Kebijakan terkelola yang dilampirkan pada peran pemilik, kontributor, dan penampil memberikan izin berbasis peran untuk proyek Anda.

• AWS CodeStar Proyek Anda pasti telah dibuat. Kebijakan terkelola tidak tersedia di IAM sampai proyek dibuat.

1. Buka konsol IAM. Di panel navigasi, pilih Kebijakan.

2. Masukkan ID proyek Anda di kolom pencarian. Nama kebijakan yang cocok dengan proyek Anda ditampilkan, dengan jenis kebijakan yang dikelola Pelanggan. Anda dapat memperluas kebijakan untuk melihat izin di pernyataan kebijakan.

3. Pilih salah satu kebijakan terkelola ini. Pilih lingkaran di sebelah kebijakan, lalu di bawah Tindakan kebijakan, pilih Lampirkan.

4. Pada halaman Ringkasan, pilih tab Entitas terlampir. Pilih Lampirkan.

5. Pada halaman Lampirkan Kebijakan, filter untuk peran pengguna federasi di bidang pencarian. Pilih kotak di samping nama peran, lalu pilih Lampirkan kebijakan. Tab Entitas terlampir menampilkan lampiran baru.

Melepaskan Kebijakan AWS CodeStar Terkelola dari Peran Pengguna Federasi

Sebelum menghapus AWS CodeStar proyek, Anda harus secara manual melepaskan kebijakan terkelola yang Anda lampirkan ke peran pengguna federasi. Untuk melakukan langkah-langkah ini, Anda harus masuk ke konsol baik sebagai pengguna root, pengguna administrator di akun, atau pengguna IAM atau pengguna gabungan dengan kebijakan AdministratorAccess terkelola terkait atau yang setara.

1. Buka konsol IAM. Di panel navigasi, pilih Kebijakan.

2. Masukkan ID proyek Anda di kolom pencarian.

3. Pilih lingkaran di sebelah kebijakan, lalu di bawah Tindakan kebijakan, pilih Lampirkan.

4. Pada halaman Ringkasan, pilih tab Entitas terlampir.

5. Filter untuk peran pengguna federasi di bidang pencarian. Pilih Lepaskan.

Melampirkan Kebijakan AWS Cloud9 Terkelola ke Peran Pengguna Federasi

Jika Anda menggunakan lingkungan AWS Cloud9 pengembangan, berikan akses kepada pengguna federasi dengan melampirkan kebijakan AWSCloud9User terkelola ke peran pengguna. Tidak seperti pengguna IAM, Anda harus melampirkan dan melepaskan kebijakan terkelola secara manual untuk pengguna federasi. Untuk melakukan langkah-langkah ini, Anda harus masuk ke konsol baik sebagai pengguna root, pengguna administrator di akun, atau pengguna IAM atau pengguna gabungan dengan kebijakan AdministratorAccess terkelola terkait atau yang setara.

Prasyarat:

• Anda harus telah membuat peran atau memiliki peran yang sudah ada yang diasumsikan oleh pengguna federasi Anda.

• Anda harus tahu tingkat izin yang ingin Anda berikan:

  • Kebijakan AWSCloud9User terkelola memungkinkan pengguna untuk melakukan hal berikut:

    • Buat lingkungan AWS Cloud9 pengembangan mereka sendiri.

    • Dapatkan informasi tentang lingkungan mereka.

    • Ubah pengaturan untuk lingkungan mereka.

  • Kebijakan AWSCloud9Administrator terkelola memungkinkan pengguna untuk melakukan hal berikut untuk diri mereka sendiri atau orang lain:

    • Buat lingkungan.

    • Dapatkan informasi tentang lingkungan.

    • Hapus lingkungan.

    • Ubah pengaturan lingkungan.

1. Buka konsol IAM. Di panel navigasi, pilih Kebijakan.

2. Masukkan nama kebijakan di kolom pencarian. Kebijakan terkelola ditampilkan, dengan jenis kebijakan AWS terkelola. Anda dapat memperluas kebijakan untuk melihat izin di pernyataan kebijakan.

3. Pilih salah satu kebijakan terkelola ini. Pilih lingkaran di sebelah kebijakan, lalu di bawah Tindakan kebijakan, pilih Lampirkan.

4. Pada halaman Ringkasan, pilih tab Entitas terlampir. Pilih Lampirkan.

5. Pada halaman Lampirkan Kebijakan, filter untuk peran pengguna federasi di bidang pencarian. Pilih kotak di samping nama peran, lalu pilih Lampirkan kebijakan. Tab Entitas terlampir menampilkan lampiran baru.

Melepaskan Kebijakan AWS Cloud9 Terkelola dari Peran Pengguna Federasi

Jika Anda menggunakan lingkungan AWS Cloud9 pengembangan, Anda dapat menghapus akses pengguna federasi ke sana dengan melepaskan kebijakan yang memberikan akses. Untuk melakukan langkah-langkah ini, Anda harus masuk ke konsol baik sebagai pengguna root, pengguna administrator di akun, atau pengguna IAM atau pengguna gabungan dengan kebijakan AdministratorAccess terkelola terkait atau yang setara.

1. Buka konsol IAM. Di panel navigasi, pilih Kebijakan.

2. Masukkan nama proyek Anda di kolom pencarian.

3. Pilih lingkaran di sebelah kebijakan, lalu di bawah Tindakan kebijakan, pilih Lampirkan.

4. Pada halaman Ringkasan, pilih tab Entitas terlampir.

5. Filter untuk peran pengguna federasi di bidang pencarian. Pilih Lepaskan.

Menggunakan Kredensyal Sementara dengan AWS CodeStar

Anda dapat menggunakan kredensial sementara untuk masuk dengan gabungan, menjalankan IAM role, atau menjalankan peran lintas akun. Anda memperoleh kredensi keamanan sementara dengan memanggil operasi AWS STS API seperti AssumeRoleatau. GetFederationToken

AWS CodeStar mendukung penggunaan kredensi sementara, tetapi fungsionalitas anggota AWS CodeStar tim tidak berfungsi untuk akses federasi. AWS CodeStar Fungsionalitas anggota tim hanya mendukung penambahan pengguna IAM sebagai anggota tim.

Peran Tertaut Layanan

Peran terkait AWS layanan memungkinkan layanan mengakses sumber daya di layanan lain untuk menyelesaikan tindakan atas nama Anda. Peran tertaut layanan muncul di akun IAM Anda dan dimiliki oleh layanan tersebut. Administrator dapat melihat, tetapi tidak dapat mengedit, izin untuk peran terkait layanan.

AWS CodeStar tidak mendukung peran terkait layanan.

Peran Layanan

Fitur ini memungkinkan layanan untuk menerima peran layanan atas nama Anda. Peran ini mengizinkan layanan untuk mengakses sumber daya di layanan lain untuk menyelesaikan tindakan atas nama Anda. Peran layanan muncul di akun IAM Anda dan dimiliki oleh akun tersebut. Ini berarti bahwa administrator dapat mengubah izin untuk peran ini. Namun, melakukannya mungkin merusak fungsi layanan.

AWS CodeStar mendukung peran layanan. AWS CodeStar menggunakan peran layanan aws-codestar-service-role, saat membuat dan mengelola sumber daya untuk proyek Anda. Untuk informasi selengkapnya, lihat Syarat dan Konsep Peran di Panduan Pengguna IAM.

penting

Anda harus masuk sebagai pengguna administrator atau akun root untuk membuat peran layanan ini. Untuk informasi selengkapnya, lihat Hanya Akses Pertama Kali: Kredensi pengguna root Anda dan Membuat Pengguna dan Grup Admin Pertama Anda di Panduan Pengguna IAM.

Peran ini dibuat untuk Anda saat pertama kali Anda membuat proyek AWS CodeStar. Peran layanan bertindak atas nama Anda untuk:

• Buat sumber daya yang Anda pilih saat membuat proyek.

• Menampilkan informasi tentang sumber daya tersebut di dasbor AWS CodeStar proyek.

Ini juga bertindak atas nama Anda ketika Anda mengelola sumber daya untuk sebuah proyek. Untuk contoh pernyataan kebijakan ini, lihat AWSCodeStarServiceRole Kebijakan.

Selain itu, AWS CodeStar membuat beberapa peran layanan khusus proyek, tergantung pada jenis proyek. AWS CloudFormation dan peran toolchain dibuat untuk setiap jenis proyek.

• AWS CloudFormation peran memungkinkan akses AWS CodeStar AWS CloudFormation untuk membuat dan memodifikasi tumpukan untuk AWS CodeStar proyek Anda.

• Peran rantai alat memungkinkan AWS CodeStar untuk mengakses AWS layanan lain untuk membuat dan memodifikasi sumber daya untuk AWS CodeStar proyek Anda.