Manajemen identitas dan akses untuk AWS CodeStar Pemberitahuan dan AWS CodeConnections

AWS Identity and Access Management (IAM) adalah Layanan AWS yang membantu administrator mengontrol akses ke AWS sumber daya dengan aman. IAMadministrator mengontrol siapa yang dapat diautentikasi (masuk) dan diberi wewenang (memiliki izin) untuk menggunakan AWS CodeStar Pemberitahuan dan sumber daya. AWS CodeConnections IAMadalah Layanan AWS yang dapat Anda gunakan tanpa biaya tambahan.

catatan

Tindakan untuk sumber daya yang dibuat di bawah awalan layanan baru codeconnections tersedia. Membuat sumber daya di bawah awalan layanan baru akan digunakan codeconnections dalam sumber ARN daya. Tindakan dan sumber daya untuk awalan codestar-connections layanan tetap tersedia. Saat menentukan sumber daya dalam IAM kebijakan, awalan layanan harus cocok dengan sumber daya.

Topik

• Audiens
• Mengautentikasi dengan identitas
• Mengelola akses menggunakan kebijakan
• Cara kerja fitur di konsol alat pengembang IAM
• AWS CodeConnections referensi izin
• Contoh kebijakan berbasis identitas
• Menggunakan tag untuk mengontrol akses ke AWS CodeConnections sumber daya
• Menggunakan notifikasi dan koneksi di konsol
• Mengizinkan pengguna melihat izin mereka sendiri
• Pemecahan Masalah AWS CodeStar Pemberitahuan dan AWS CodeConnections identitas dan akses
• Menggunakan peran terkait layanan untuk Pemberitahuan AWS CodeStar
• Menggunakan peran tertaut layanan untuk AWS CodeConnections
• AWS kebijakan terkelola untuk AWS CodeConnections

Audiens

Cara Anda menggunakan AWS Identity and Access Management (IAM) berbeda, tergantung pada pekerjaan yang Anda lakukan di AWS CodeStar Notifikasi dan AWS CodeConnections.

Pengguna layanan — Jika Anda menggunakan AWS CodeStar Pemberitahuan dan AWS CodeConnections layanan untuk melakukan pekerjaan Anda, administrator Anda memberi Anda kredensi dan izin yang Anda butuhkan. Saat Anda menggunakan lebih banyak AWS CodeStar Pemberitahuan dan AWS CodeConnections fitur untuk melakukan pekerjaan Anda, Anda mungkin memerlukan izin tambahan. Memahami cara akses dikelola dapat membantu Anda meminta izin yang tepat dari administrator Anda. Jika Anda tidak dapat mengakses fitur di AWS CodeStar Notifikasi dan AWS CodeConnections, lihatPemecahan Masalah AWS CodeStar Pemberitahuan dan AWS CodeConnections identitas dan akses.

Administrator layanan — Jika Anda bertanggung jawab atas AWS CodeStar Pemberitahuan dan AWS CodeConnections sumber daya di perusahaan Anda, Anda mungkin memiliki akses penuh ke AWS CodeStar Notifikasi dan AWS CodeConnections. Tugas Anda adalah menentukan AWS CodeStar Notifikasi dan AWS CodeConnections fitur serta sumber daya mana yang harus diakses pengguna layanan Anda. Anda kemudian harus mengirimkan permintaan ke IAM administrator Anda untuk mengubah izin pengguna layanan Anda. Tinjau informasi di halaman ini untuk memahami konsep dasarIAM. Untuk mempelajari selengkapnya tentang cara perusahaan Anda dapat menggunakan IAM AWS CodeStar Notifikasi dan AWS CodeConnections, lihatCara kerja fitur di konsol alat pengembang IAM.

IAMadministrator — Jika Anda seorang IAM administrator, Anda mungkin ingin mempelajari detail tentang cara menulis kebijakan untuk mengelola akses ke AWS CodeStar Notifikasi dan AWS CodeConnections. Untuk melihat contoh AWS CodeStar Pemberitahuan dan kebijakan AWS CodeConnections berbasis identitas yang dapat Anda gunakan, lihat. IAM Contoh kebijakan berbasis identitas

Mengautentikasi dengan identitas

Otentikasi adalah cara Anda masuk AWS menggunakan kredensi identitas Anda. Anda harus diautentikasi (masuk ke AWS) sebagai Pengguna root akun AWS, sebagai IAM pengguna, atau dengan mengambil peranIAM.

Anda dapat masuk AWS sebagai identitas federasi dengan menggunakan kredensi yang disediakan melalui sumber identitas. AWS IAM Identity Center Pengguna (Pusat IAM Identitas), autentikasi masuk tunggal perusahaan Anda, dan kredensi Google atau Facebook Anda adalah contoh identitas federasi. Saat Anda masuk sebagai identitas federasi, administrator Anda sebelumnya menyiapkan federasi identitas menggunakan IAM peran. Ketika Anda mengakses AWS dengan menggunakan federasi, Anda secara tidak langsung mengambil peran.

Bergantung pada jenis pengguna Anda, Anda dapat masuk ke AWS Management Console atau portal AWS akses. Untuk informasi selengkapnya tentang masuk AWS, lihat Cara masuk ke Panduan AWS Sign-In Pengguna Anda Akun AWS.

Jika Anda mengakses AWS secara terprogram, AWS sediakan kit pengembangan perangkat lunak (SDK) dan antarmuka baris perintah (CLI) untuk menandatangani permintaan Anda secara kriptografis dengan menggunakan kredensil Anda. Jika Anda tidak menggunakan AWS alat, Anda harus menandatangani permintaan sendiri. Untuk informasi selengkapnya tentang menggunakan metode yang disarankan untuk menandatangani permintaan sendiri, lihat Versi AWS Tanda Tangan 4 untuk API permintaan di Panduan IAM Pengguna.

Apa pun metode autentikasi yang digunakan, Anda mungkin diminta untuk menyediakan informasi keamanan tambahan. Misalnya, AWS merekomendasikan agar Anda menggunakan otentikasi multi-faktor (MFA) untuk meningkatkan keamanan akun Anda. Untuk mempelajari selengkapnya, lihat Autentikasi multi-faktor di Panduan AWS IAM Identity Center Pengguna dan Autentikasi AWS multi-faktor IAM di Panduan Pengguna. IAM

Pengguna root akun AWS

Saat Anda membuat Akun AWS, Anda mulai dengan satu identitas masuk yang memiliki akses lengkap ke semua Layanan AWS dan sumber daya di akun. Identitas ini disebut pengguna Akun AWS root dan diakses dengan masuk dengan alamat email dan kata sandi yang Anda gunakan untuk membuat akun. Kami sangat menyarankan agar Anda tidak menggunakan pengguna root untuk tugas sehari-hari. Lindungi kredensial pengguna root Anda dan gunakan kredensial tersebut untuk melakukan tugas yang hanya dapat dilakukan pengguna root. Untuk daftar lengkap tugas yang mengharuskan Anda masuk sebagai pengguna root, lihat Tugas yang memerlukan kredensi pengguna root di IAMPanduan Pengguna.

Pengguna dan grup IAM

IAMPengguna adalah identitas dalam diri Anda Akun AWS yang memiliki izin khusus untuk satu orang atau aplikasi. Jika memungkinkan, sebaiknya mengandalkan kredensi sementara daripada membuat IAM pengguna yang memiliki kredensi jangka panjang seperti kata sandi dan kunci akses. Namun, jika Anda memiliki kasus penggunaan khusus yang memerlukan kredensi jangka panjang dengan IAM pengguna, kami sarankan Anda memutar kunci akses. Untuk informasi selengkapnya, lihat Memutar kunci akses secara teratur untuk kasus penggunaan yang memerlukan kredensi jangka panjang di IAMPanduan Pengguna.

IAMGrup adalah identitas yang menentukan kumpulan IAM pengguna. Anda tidak dapat masuk sebagai grup. Anda dapat menggunakan grup untuk menentukan izin bagi beberapa pengguna sekaligus. Grup mempermudah manajemen izin untuk sejumlah besar pengguna sekaligus. Misalnya, Anda dapat memiliki grup bernama IAMAdminsdan memberikan izin grup tersebut untuk mengelola sumber dayaIAM.

Pengguna berbeda dari peran. Pengguna secara unik terkait dengan satu orang atau aplikasi, tetapi peran dimaksudkan untuk dapat digunakan oleh siapa pun yang membutuhkannya. Pengguna memiliki kredensial jangka panjang permanen, tetapi peran memberikan kredensial sementara. Untuk mempelajari selengkapnya, lihat Kasus penggunaan untuk IAM pengguna di Panduan IAM Pengguna.

IAMperan

IAMPeran adalah identitas dalam diri Anda Akun AWS yang memiliki izin khusus. Ini mirip dengan IAM pengguna, tetapi tidak terkait dengan orang tertentu. Untuk mengambil IAM peran sementara di dalam AWS Management Console, Anda dapat beralih dari pengguna ke IAM peran (konsol). Anda dapat mengambil peran dengan memanggil AWS CLI atau AWS API operasi atau dengan menggunakan kustomURL. Untuk informasi selengkapnya tentang metode penggunaan peran, lihat Metode untuk mengambil peran dalam Panduan IAM Pengguna.

IAMperan dengan kredensi sementara berguna dalam situasi berikut:

• Akses pengguna terfederasi – Untuk menetapkan izin ke identitas terfederasi, Anda membuat peran dan menentukan izin untuk peran tersebut. Ketika identitas terfederasi mengautentikasi, identitas tersebut terhubung dengan peran dan diberi izin yang ditentukan oleh peran. Untuk informasi tentang peran untuk federasi, lihat Membuat peran untuk Penyedia Identitas pihak ketiga di Panduan IAM Pengguna. Jika Anda menggunakan Pusat IAM Identitas, Anda mengonfigurasi set izin. Untuk mengontrol apa yang dapat diakses identitas Anda setelah diautentikasi, Pusat IAM Identitas menghubungkan izin yang disetel ke peran. IAM Untuk informasi tentang set izin, lihat Set izin dalam Panduan Pengguna AWS IAM Identity Center .

• Izin IAM pengguna sementara — IAM Pengguna atau peran dapat mengambil IAM peran untuk sementara mengambil izin yang berbeda untuk tugas tertentu.

• Akses lintas akun — Anda dapat menggunakan IAM peran untuk memungkinkan seseorang (prinsipal tepercaya) di akun lain mengakses sumber daya di akun Anda. Peran adalah cara utama untuk memberikan akses lintas akun. Namun, dengan beberapa Layanan AWS, Anda dapat melampirkan kebijakan secara langsung ke sumber daya (alih-alih menggunakan peran sebagai proxy). Untuk mempelajari perbedaan antara peran dan kebijakan berbasis sumber daya untuk akses lintas akun, lihat Akses sumber daya lintas akun di IAM Panduan Pengguna. IAM

• Akses lintas layanan — Beberapa Layanan AWS menggunakan fitur lain Layanan AWS. Misalnya, saat Anda melakukan panggilan dalam suatu layanan, biasanya layanan tersebut menjalankan aplikasi di Amazon EC2 atau menyimpan objek di Amazon S3. Sebuah layanan mungkin melakukannya menggunakan izin prinsipal yang memanggil, menggunakan peran layanan, atau peran terkait layanan.

  • Sesi akses teruskan (FAS) — Saat Anda menggunakan IAM pengguna atau peran untuk melakukan tindakan AWS, Anda dianggap sebagai prinsipal. Ketika Anda menggunakan beberapa layanan, Anda mungkin melakukan sebuah tindakan yang kemudian menginisiasi tindakan lain di layanan yang berbeda. FASmenggunakan izin dari pemanggilan utama Layanan AWS, dikombinasikan dengan permintaan Layanan AWS untuk membuat permintaan ke layanan hilir. FASPermintaan hanya dibuat ketika layanan menerima permintaan yang memerlukan interaksi dengan orang lain Layanan AWS atau sumber daya untuk menyelesaikannya. Dalam hal ini, Anda harus memiliki izin untuk melakukan kedua tindakan tersebut. Untuk detail kebijakan saat membuat FAS permintaan, lihat Meneruskan sesi akses.

  • Peran layanan — Peran layanan adalah IAMperan yang diasumsikan layanan untuk melakukan tindakan atas nama Anda. IAMAdministrator dapat membuat, memodifikasi, dan menghapus peran layanan dari dalamIAM. Untuk informasi selengkapnya, lihat Membuat peran untuk mendelegasikan izin ke Layanan AWS dalam IAMPanduan Pengguna.

  • Peran terkait layanan — Peran terkait layanan adalah jenis peran layanan yang ditautkan ke peran layanan. Layanan AWS Layanan tersebut dapat menjalankan peran untuk melakukan tindakan atas nama Anda. Peran terkait layanan muncul di Anda Akun AWS dan dimiliki oleh layanan. IAMAdministrator dapat melihat, tetapi tidak mengedit izin untuk peran terkait layanan.

• Aplikasi yang berjalan di Amazon EC2 — Anda dapat menggunakan IAM peran untuk mengelola kredenal sementara untuk aplikasi yang berjalan pada EC2 instance dan membuat AWS CLI atau AWS API meminta. Ini lebih baik untuk menyimpan kunci akses dalam EC2 instance. Untuk menetapkan AWS peran ke EC2 instance dan membuatnya tersedia untuk semua aplikasinya, Anda membuat profil instance yang dilampirkan ke instance. Profil instance berisi peran dan memungkinkan program yang berjalan pada EC2 instance untuk mendapatkan kredensi sementara. Untuk informasi selengkapnya, lihat Menggunakan IAM peran untuk memberikan izin ke aplikasi yang berjalan di EC2 instans Amazon di IAMPanduan Pengguna.

Mengelola akses menggunakan kebijakan

Anda mengontrol akses AWS dengan membuat kebijakan dan melampirkannya ke AWS identitas atau sumber daya. Kebijakan adalah objek AWS yang, ketika dikaitkan dengan identitas atau sumber daya, menentukan izinnya. AWS mengevaluasi kebijakan ini ketika prinsipal (pengguna, pengguna root, atau sesi peran) membuat permintaan. Izin dalam kebijakan menentukan apakah permintaan diizinkan atau ditolak. Sebagian besar kebijakan disimpan AWS sebagai JSON dokumen. Untuk informasi selengkapnya tentang struktur dan isi dokumen JSON kebijakan, lihat Ringkasan JSON kebijakan di Panduan IAM Pengguna.

Administrator dapat menggunakan AWS JSON kebijakan untuk menentukan siapa yang memiliki akses ke apa. Yaitu, principal dapat melakukan tindakan pada suatu sumber daya, dan dalam suatu syarat.

Secara default, pengguna dan peran tidak memiliki izin. Untuk memberikan izin kepada pengguna untuk melakukan tindakan pada sumber daya yang mereka butuhkan, IAM administrator dapat membuat IAM kebijakan. Administrator kemudian dapat menambahkan IAM kebijakan ke peran, dan pengguna dapat mengambil peran.

IAMkebijakan menentukan izin untuk tindakan terlepas dari metode yang Anda gunakan untuk melakukan operasi. Misalnya, anggaplah Anda memiliki kebijakan yang mengizinkan tindakan iam:GetRole. Pengguna dengan kebijakan itu bisa mendapatkan informasi peran dari AWS Management Console, AWS CLI, atau AWS API.

Kebijakan berbasis identitas

Kebijakan berbasis identitas adalah dokumen kebijakan JSON izin yang dapat dilampirkan ke identitas, seperti pengguna, grup IAM pengguna, atau peran. Kebijakan ini mengontrol jenis tindakan yang dapat dilakukan oleh pengguna dan peran, di sumber daya mana, dan berdasarkan kondisi seperti apa. Untuk mempelajari cara membuat kebijakan berbasis identitas, lihat Menentukan IAM izin khusus dengan kebijakan yang dikelola pelanggan di Panduan Pengguna. IAM

Kebijakan berbasis identitas dapat dikategorikan lebih lanjut sebagai kebijakan inline atau kebijakan yang dikelola. Kebijakan inline disematkan langsung ke satu pengguna, grup, atau peran. Kebijakan terkelola adalah kebijakan mandiri yang dapat Anda lampirkan ke beberapa pengguna, grup, dan peran dalam. Akun AWS Kebijakan AWS terkelola mencakup kebijakan terkelola dan kebijakan yang dikelola pelanggan. Untuk mempelajari cara memilih antara kebijakan terkelola atau kebijakan sebaris, lihat Memilih antara kebijakan terkelola dan kebijakan sebaris di IAMPanduan Pengguna.

AWS CodeConnections referensi izin

Tabel berikut mencantumkan setiap AWS CodeConnections API operasi, tindakan terkait yang dapat Anda berikan izin, dan format sumber daya yang akan digunakan ARN untuk memberikan izin. AWS CodeConnections APIsDikelompokkan ke dalam tabel berdasarkan ruang lingkup tindakan yang diizinkan oleh ituAPI. Lihat saat menulis kebijakan izin yang dapat Anda lampirkan ke IAM identitas (kebijakan berbasis identitas).

Saat Anda membuat kebijakan izin, Anda menentukan tindakan di bagian kebijakan bidang Action. Anda menentukan nilai sumber daya di Resource bidang kebijakan sebagaiARN, dengan atau tanpa karakter wildcard (*).

Untuk mengekspresikan syarat dalam kebijakan koneksi Anda, gunakan kunci syarat yang dijelaskan di sini dan tercantum dalam Kunci syarat. Anda juga dapat menggunakan tombol kondisi AWS-wide. Untuk daftar lengkap tombol AWS-wide, lihat Kunci yang tersedia di Panduan IAM Pengguna.

Untuk menentukan tindakan, gunakan codeconnections awalan diikuti dengan nama API operasi (misalnya, codeconnections:ListConnections ataucodeconnections:CreateConnection.

Menggunakan wildcard

Untuk menentukan beberapa tindakan atau sumber daya, gunakan karakter wildcard (*) di karakter AndaARN. Misalnya, codeconnections:* menentukan semua AWS CodeConnections tindakan dan codeconnections:Get* menentukan semua AWS CodeConnections tindakan yang dimulai dengan kata. Get Contoh berikut memberikan akses ke semua sumber daya dengan nama yang dimulai dengan MyConnection.

arn:aws:codeconnections:us-west-2:account-ID:connection/*

Anda dapat menggunakan wildcard hanya dengan connection sumber daya yang tercantum dalam tabel berikut. Anda tidak dapat menggunakan wildcard dengan region atau account-id sumber daya. Untuk informasi selengkapnya tentang wildcard, lihat IAMpengenal di IAMPanduan Pengguna.

Izin untuk mengelola koneksi

Peran atau pengguna yang ditunjuk untuk menggunakan AWS CLI atau SDK untuk melihat, membuat, atau menghapus koneksi harus memiliki izin terbatas pada hal berikut.

catatan

Anda tidak dapat menyelesaikan atau menggunakan koneksi di konsol dengan hanya izin berikut. Anda perlu menambahkan izin di Izin untuk menyelesaikan koneksi.

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections izin yang diperlukan untuk mengelola koneksi
AWS CodeConnections tindakan	Izin yang diperlukan	Sumber daya
CreateConnection	codeconnections:CreateConnection Diperlukan untuk menggunakan CLI atau konsol untuk membuat koneksi.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
DeleteConnection	codeconnections:DeleteConnection Diperlukan untuk menggunakan CLI atau konsol untuk menghapus koneksi.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
GetConnection	codeconnections:GetConnection Diperlukan untuk menggunakan CLI atau konsol untuk melihat detail tentang koneksi.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListConnections	codeconnections:ListConnections Diperlukan untuk menggunakan CLI atau konsol untuk mencantumkan semua koneksi di akun.	arn:aws:codeconnections:region:account-id:koneksi/connection-id

Operasi ini mendukung kunci syarat berikut:

Tindakan	Kunci kondisi
codeconnections:CreateConnection	codeconnections:ProviderType
codeconnections:DeleteConnection	N/A
codeconnections:GetConnection	N/A
codeconnections:ListConnections	codeconnections:ProviderTypeFilter

Izin untuk mengelola host

Peran atau pengguna yang ditunjuk untuk menggunakan AWS CLI atau SDK untuk melihat, membuat, atau menghapus host harus memiliki izin terbatas pada hal berikut.

catatan

Anda tidak dapat menyelesaikan atau menggunakan koneksi di host dengan hanya izin berikut. Anda perlu menambahkan izin di Izin untuk menyiapkan host.

codeconnections:CreateHost
codeconnections:DeleteHost
codeconnections:GetHost
codeconnections:ListHosts

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections izin yang diperlukan untuk mengelola host
AWS CodeConnections tindakan	Izin yang diperlukan	Sumber daya
CreateHost	codeconnections:CreateHost Diperlukan untuk menggunakan konsol CLI atau untuk membuat host.	arn:aws:codeconnections:region:account-id:tuan rumah/host-id
DeleteHost	codeconnections:DeleteHost Diperlukan untuk menggunakan konsol CLI atau untuk menghapus host.	codeconnections:region:account-id:tuan rumah/host-id
GetHost	codeconnections:GetHost Diperlukan untuk menggunakan CLI atau konsol untuk melihat detail tentang host.	arn:aws:codeconnections:region:account-id:tuan rumah/host-id
ListHosts	codeconnections:ListHosts Diperlukan untuk menggunakan CLI atau konsol untuk mencantumkan semua host di akun.	arn:aws:codeconnections:region:account-id:tuan rumah/host-id

Operasi ini mendukung kunci syarat berikut:

Tindakan	Kunci kondisi
codeconnections:CreateHost	codeconnections:ProviderType
codeconnections:DeleteHost	N/A
codeconnections:GetHost	N/A
codeconnections:ListHosts	codeconnections:ProviderTypeFilter

Izin untuk menyelesaikan koneksi

Peran atau pengguna yang ditunjuk untuk mengelola koneksi di konsol harus memiliki izin yang diperlukan untuk menyelesaikan koneksi di konsol dan membuat instalasi, yang mencakup otorisasi handshake ke penyedia dan membuat instalasi untuk koneksi untuk digunakan. Gunakan izin berikut selain izin di atas.

IAMOperasi berikut digunakan oleh konsol saat melakukan jabat tangan berbasis browser. Izin IAM kebijakan ListInstallationTargets GetInstallationUrlStartOAuthHandshake,UpdateConnectionInstallation,,, dan GetIndividualAccessToken merupakan. Mereka bukan API tindakan.

codeconnections:GetIndividualAccessToken
codeconnections:GetInstallationUrl
codeconnections:ListInstallationTargets
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation

Berdasarkan ini, izin berikut diperlukan untuk menggunakan, membuat, memperbarui, atau menghapus koneksi di konsol.

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections
codeconnections:UseConnection
codeconnections:ListInstallationTargets
codeconnections:GetInstallationUrl
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation
codeconnections:GetIndividualAccessToken

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections izin yang diperlukan untuk menyelesaikan koneksi
AWS CodeConnections tindakan	Izin yang diperlukan	Sumber daya
GetIndividualAccessToken	codeconnections:GetIndividualAccessToken Diperlukan untuk menggunakan konsol untuk menyelesaikan koneksi. Ini hanya izin IAM kebijakan, bukan API tindakan.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
GetInstallationUrl	codeconnections:GetInstallationUrl Diperlukan untuk menggunakan konsol untuk menyelesaikan koneksi. Ini hanya izin IAM kebijakan, bukan API tindakan.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListInstallationTargets	codeconnections:ListInstallationTargets Diperlukan untuk menggunakan konsol untuk menyelesaikan koneksi. Ini hanya izin IAM kebijakan, bukan API tindakan.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
StartOAuthHandshake	codeconnections:StartOAuthHandshake Diperlukan untuk menggunakan konsol untuk menyelesaikan koneksi. Ini hanya izin IAM kebijakan, bukan API tindakan.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
UpdateConnectionInstallation	codeconnections:UpdateConnectionInstallation Diperlukan untuk menggunakan konsol untuk menyelesaikan koneksi. Ini hanya izin IAM kebijakan, bukan API tindakan.	arn:aws:codeconnections:region:account-id:koneksi/connection-id

Operasi ini mendukung kunci kondisi berikut.

Tindakan	Kunci kondisi
codeconnections:GetIndividualAccessToken	codeconnections:ProviderType
codeconnections:GetInstallationUrl	codeconnections:ProviderType
codeconnections:ListInstallationTargets	N/A
codeconnections:StartOAuthHandshake	codeconnections:ProviderType
codeconnections:UpdateConnectionInstallation	codeconnections:InstallationId

Izin untuk menyiapkan host

Peran atau pengguna yang ditunjuk untuk mengelola koneksi di konsol harus memiliki izin yang diperlukan untuk mengatur host di konsol, yang mencakup otorisasi handshake ke penyedia dan menginstal aplikasi host. Gunakan izin berikut selain izin untuk host di atas.

IAMOperasi berikut digunakan oleh konsol saat melakukan pendaftaran host berbasis browser. RegisterAppCodedan StartAppRegistrationHandshake merupakan izin IAM kebijakan. Mereka bukan API tindakan.

codeconnections:RegisterAppCode
codeconnections:StartAppRegistrationHandshake

Berdasarkan ini, izin berikut diperlukan untuk menggunakan, membuat, memperbarui, atau menghapus koneksi di konsol yang memerlukan host (seperti jenis penyedia yang diinstal).

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections
codeconnections:UseConnection
codeconnections:ListInstallationTargets
codeconnections:GetInstallationUrl
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation
codeconnections:GetIndividualAccessToken
codeconnections:RegisterAppCode
codeconnections:StartAppRegistrationHandshake

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections izin yang diperlukan untuk menyelesaikan penyiapan host
Tindakan koneksi	Izin yang diperlukan	Sumber daya
RegisterAppCode	codeconnections:RegisterAppCode Diperlukan untuk menggunakan konsol untuk menyelesaikan pengaturan host. Ini hanya izin IAM kebijakan, bukan API tindakan.	arn:aws:codeconnections:region:account-id:tuan rumah/host-id
StartAppRegistrationHandshake	codeconnections:StartAppRegistrationHandshake Diperlukan untuk menggunakan konsol untuk menyelesaikan pengaturan host. Ini hanya izin IAM kebijakan, bukan API tindakan.	arn:aws:codeconnections:region:account-id:tuan rumah/host-id

Operasi ini mendukung kunci kondisi berikut.

Melewati koneksi ke layanan

Ketika koneksi diteruskan ke layanan (misalnya, ketika koneksi ARN disediakan dalam definisi pipeline untuk membuat atau memperbarui pipeline) pengguna harus memiliki codeconnections:PassConnection izin.

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections izin yang diperlukan untuk meneruskan koneksi
AWS CodeConnections tindakan	Izin yang diperlukan	Sumber daya
PassConnection	codeconnections:PassConnection Diperlukan untuk meneruskan koneksi ke layanan.	arn:aws:codeconnections:region:account-id:koneksi/connection-id

Operasi ini juga mendukung kunci kondisi berikut:

• codeconnections:PassedToService

Nilai yang didukung untuk kunci kondisi
Kunci	Penyedia tindakan yang valid
codeconnections:PassedToService	codeguru-reviewer codepipeline.amazonaws.com proton.amazonaws.com

Menggunakan koneksi

Ketika layanan seperti CodePipeline menggunakan koneksi, peran layanan harus memiliki codeconnections:UseConnection izin untuk koneksi tertentu.

Untuk mengelola koneksi di konsol, kebijakan pengguna harus memiliki izin codeconnections:UseConnection.

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections tindakan yang diperlukan untuk menggunakan koneksi
AWS CodeConnections tindakan	Izin yang diperlukan	Sumber daya
UseConnection	codeconnections:UseConnection Diperlukan untuk menggunakan koneksi.	arn:aws:codeconnections:region:account-id:koneksi/connection-id

Operasi ini juga mendukung kunci syarat berikut:

• codeconnections:BranchName

• codeconnections:FullRepositoryId

• codeconnections:OwnerId

• codeconnections:ProviderAction

• codeconnections:ProviderPermissionsRequired

• codeconnections:RepositoryName

Nilai yang didukung untuk kunci kondisi
Kunci	Penyedia tindakan yang valid
codeconnections:FullRepositoryId	Nama pengguna dan nama repositori repositori, seperti. my-owner/my-repository Didukung hanya bila koneksi sedang digunakan untuk mengakses repositori tertentu.
codeconnections:ProviderPermissionsRequired	read_only atau read_write
codeconnections:ProviderAction	GetBranch, ListRepositories, ListOwners, ListBranches, StartUploadArchiveToS3, GitPush, GitPull, GetUploadArchiveToS3Status, CreatePullRequestDiffComment, GetPullRequest, ListBranchCommits, ListCommitFiles, ListPullRequestComments, ListPullRequestCommits. Untuk informasi, lihat bagian selanjutnya.

Kunci syarat yang diperlukan untuk beberapa fungsionalitas mungkin berubah dari waktu ke waktu. Kami menyarankan agar Anda menggunakan codeconnections:UseConnection untuk mengontrol akses ke koneksi kecuali persyaratan kontrol akses Anda memerlukan izin yang berbeda.

Jenis akses yang didukung untuk ProviderAction

Ketika koneksi digunakan oleh AWS layanan, itu menghasilkan API panggilan yang dilakukan ke penyedia kode sumber Anda. Misalnya, layanan mungkin mencantumkan repositori untuk koneksi Bitbucket dengan memanggil file. https://api.bitbucket.org/2.0/repositories/username API

Kunci ProviderAction kondisi memungkinkan Anda untuk membatasi penyedia mana APIs yang dapat dipanggil. Karena API jalur mungkin dihasilkan secara dinamis, dan jalurnya bervariasi dari penyedia ke penyedia lainnya, ProviderAction nilainya dipetakan ke nama tindakan abstrak URL daripada nama. API Hal ini memungkinkan Anda untuk menulis kebijakan yang memiliki efek yang sama terlepas dari jenis penyedia untuk koneksi.

Berikut ini adalah jenis akses yang diberikan untuk masing-masing nilai ProviderAction yang didukung. Berikut ini adalah izin IAM kebijakan. Mereka bukan API tindakan.

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections jenis akses yang didukung untuk ProviderAction
AWS CodeConnections izin	Izin yang diperlukan	Sumber daya
GetBranch	codeconnections:GetBranch Diperlukan untuk mengakses informasi tentang cabang, seperti komit terbaru untuk cabang tersebut.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListRepositories	codeconnections:ListRepositories Diperlukan untuk mengakses daftar repositori publik dan privat, termasuk detail tentang repositori tersebut, yang menjadi milik pemilik.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListOwners	codeconnections:ListOwners Diperlukan untuk mengakses daftar pemilik yang memiliki akses ke koneksi.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListBranches	codeconnections:ListBranches Diperlukan untuk mengakses daftar cabang yang ada pada repositori yang diberikan.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
StartUploadArchiveToS3	codeconnections:StartUploadArchiveToS3 Diperlukan untuk membaca kode sumber dan mengunggahnya ke Amazon S3.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
GitPush	codeconnections:GitPush Diperlukan untuk menulis ke repositori menggunakan Git.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
GitPull	codeconnections:GitPull Diperlukan untuk membaca dari repositori menggunakan Git.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
GetUploadArchiveToS3Status	codeconnections:GetUploadArchiveToS3Status Diperlukan untuk mengakses status pengunggahan, termasuk pesan kesalahan, yang dimulai dengan StartUploadArchiveToS3.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
CreatePullRequestDiffComment	codeconnections:CreatePullRequestDiffComment Diperlukan untuk mengakses komentar pada permintaan tarik.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
GetPullRequest	codeconnections:GetPullRequest Diperlukan untuk melihat permintaan tarik untuk repositori.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListBranchCommits	codeconnections:ListBranchCommits Diperlukan untuk melihat daftar komit untuk cabang repositori.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListCommitFiles	codeconnections:ListCommitFiles Diperlukan untuk melihat daftar file untuk komit.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListPullRequestComments	codeconnections:ListPullRequestComments Diperlukan untuk melihat daftar komentar untuk permintaan tarik.	arn:aws:codeconnections:region:account-id:koneksi/connection-id
ListPullRequestCommits	codeconnections:ListPullRequestCommits Diperlukan untuk melihat daftar komit untuk permintaan tarik.	arn:aws:codeconnections:region:account-id:koneksi/connection-id

Izin yang didukung untuk menandai sumber daya koneksi

IAMOperasi berikut digunakan saat menandai sumber daya koneksi.

codeconnections:ListTagsForResource
codeconnections:TagResource
codeconnections:UntagResource

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections tindakan yang diperlukan untuk menandai sumber daya koneksi
AWS CodeConnections tindakan	Izin yang diperlukan	Sumber daya
ListTagsForResource	codeconnections:ListTagsForResource Diperlukan untuk melihat daftar tanda yang terkait dengan sumber daya koneksi.	arn:aws:codeconnections:region:account-id:koneksi/connection-id , arn:aws:codeconnections:region:account-id:tuan rumah/host-id
TagResource	codeconnections:TagResource Diperlukan untuk menandai sumber daya koneksi.	arn:aws:codeconnections:region:account-id:koneksi/connection-id , arn:aws:codeconnections:region:account-id:tuan rumah/host-id
UntagResource	codeconnections:UntagResource Diperlukan untuk menghapus tanda dari sumber daya koneksi.	arn:aws:codeconnections:region:account-id:koneksi/connection-id , arn:aws:codeconnections:region:account-id:tuan rumah/host-id

Melewati koneksi ke tautan repositori

Ketika repository-link disediakan dalam konfigurasi sinkronisasi, pengguna harus memiliki codeconnections:PassRepository izin untuk repository-link /resource. ARN

Gunakan bilah gulir untuk melihat seluruh tabel.

AWS CodeConnections izin yang diperlukan untuk meneruskan koneksi
AWS CodeConnections tindakan	Izin yang diperlukan	Sumber daya
PassRepository	codeconnections:PassRepository Diperlukan untuk meneruskan tautan repositori ke konfigurasi sinkronisasi.	arn:aws:codeconnections:region:account-id:repositori-tautan/repository-link-id

Operasi ini juga mendukung kunci kondisi berikut:

• codeconnections:PassedToService

Nilai yang didukung untuk kunci kondisi
Kunci	Penyedia tindakan yang valid
codeconnections:PassedToService	cloudformation.sync.codeconnections.amazonaws.com

Kunci kondisi yang didukung untuk tautan repositori

Operasi untuk tautan repositori dan sumber daya konfigurasi sinkronisasi didukung oleh kunci kondisi berikut:

• codeconnections:Branch

  Memfilter akses dengan nama cabang yang diteruskan dalam permintaan.

Tindakan yang didukung untuk kunci kondisi
Kunci	Nilai valid
codeconnections:Branch	Tindakan berikut didukung untuk kunci kondisi ini: CreateSyncConfiguration UpdateSyncConfiguration GetRepositorySyncStatus

Menggunakan notifikasi dan koneksi di konsol

Pengalaman notifikasi dibangun ke dalam CodeBuild, CodeCommit, CodeDeploy, dan CodePipeline konsol, serta di konsol Alat Pengembang di bilah navigasi Pengaturan itu sendiri. Untuk mengakses notifikasi di konsol, Anda harus memiliki salah satu kebijakan terkelola untuk layanan tersebut diterapkan, atau Anda harus memiliki seperangkat izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang AWS CodeStar Pemberitahuan dan AWS CodeConnections sumber daya di AWS akun Anda. Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana dimaksud untuk entitas (IAMpengguna atau peran) dengan kebijakan tersebut. Untuk informasi selengkapnya tentang pemberian akses ke AWS CodeBuild AWS CodeCommit, AWS CodeDeploy,, dan AWS CodePipeline, termasuk akses ke konsol tersebut, lihat topik berikut:

• CodeBuild: Menggunakan kebijakan berbasis identitas untuk CodeBuild

• CodeCommit: Menggunakan kebijakan berbasis identitas untuk CodeCommit

• AWS CodeDeploy: Identitas dan manajemen akses untuk AWS CodeDeploy

• CodePipeline: Kontrol akses dengan IAM kebijakan

AWS CodeStar Pemberitahuan tidak memiliki kebijakan AWS terkelola apa pun. Untuk menyediakan akses ke fungsionalitas notifikasi, Anda harus menerapkan salah satu kebijakan terkelola untuk salah satu layanan yang terdaftar sebelumnya, atau Anda harus membuat kebijakan dengan tingkat izin yang ingin Anda berikan kepada pengguna atau entitas, dan kemudian melampirkan kebijakan tersebut ke pengguna, grup, atau peran yang memerlukan izin tersebut. Untuk informasi selengkapnya dan contoh, lihat berikut ini:

• Contoh: Kebijakan tingkat administrator untuk mengelola Pemberitahuan AWS CodeStar

• Contoh: Kebijakan tingkat kontributor untuk menggunakan Notifikasi AWS CodeStar

• Contoh: read-only-level Kebijakan untuk menggunakan AWS CodeStar Notifikasi.

AWS CodeConnections tidak memiliki kebijakan AWS terkelola. Anda menggunakan izin dan kombinasi izin untuk akses, seperti izin yang dirinci. Izin untuk menyelesaikan koneksi

Untuk informasi selengkapnya, lihat berikut ini:

• Contoh: Kebijakan tingkat administrator untuk mengelola AWS CodeConnections

• Contoh: Kebijakan tingkat kontributor untuk menggunakan AWS CodeConnections

• Contoh: read-only-level Kebijakan untuk menggunakan AWS CodeConnections

Anda tidak perlu mengizinkan izin konsol untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau. AWS API Sebagai gantinya, izinkan akses hanya ke tindakan yang cocok dengan API operasi yang Anda coba lakukan.

Mengizinkan pengguna melihat izin mereka sendiri

Contoh ini menunjukkan cara Anda membuat kebijakan yang memungkinkan IAM pengguna melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan atau. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}