AWS Proton Contoh kebijakan peran layanan IAM

Administrator memiliki dan mengelola sumber daya yang AWS Proton dibuat seperti yang ditentukan oleh lingkungan dan templat layanan. Mereka melampirkan peran layanan IAM ke akun mereka yang memungkinkan AWS Proton untuk membuat sumber daya atas nama mereka. Administrator menyediakan peran dan AWS Key Management Service kunci IAM untuk sumber daya yang nantinya dimiliki dan dikelola oleh AWS Proton pengembang saat menerapkan aplikasi mereka sebagai AWS Proton layanan di lingkungan AWS Proton . Untuk informasi selengkapnya tentang AWS KMS dan enkripsi data, lihatPerlindungan data di AWS Proton.

Peran layanan adalah peran Amazon Web Services (IAM) yang memungkinkan AWS Proton untuk melakukan panggilan ke sumber daya atas nama Anda. Jika Anda menentukan peran layanan, AWS Proton menggunakan kredensial peran tersebut. Gunakan peran layanan untuk secara eksplisit menentukan tindakan yang AWS Proton dapat dilakukan.

Anda membuat peran layanan dan kebijakan izinnya dengan layanan IAM. Untuk informasi selengkapnya tentang membuat peran layanan, lihat Membuat peran untuk mendelegasikan izin ke AWS layanan di Panduan Pengguna IAM.

AWS Proton peran layanan untuk penyediaan menggunakan CloudFormation

Sebagai anggota tim platform, Anda dapat sebagai administrator membuat peran AWS Proton layanan dan menyediakannya AWS Proton ketika Anda membuat lingkungan sebagai peran CloudFormation layanan lingkungan (protonServiceRoleArnparameter tindakan CreateEnvironment API). Peran ini memungkinkan AWS Proton untuk membuat panggilan API ke layanan lain atas nama Anda ketika lingkungan atau salah satu instans layanan yang berjalan di dalamnya menggunakan penyediaan AWS yang dikelola dan AWS CloudFormation untuk menyediakan infrastruktur.

Sebaiknya gunakan peran IAM berikut dan kebijakan kepercayaan untuk peran AWS Proton layanan Anda. Saat Anda menggunakan AWS Proton konsol untuk membuat lingkungan dan memilih untuk membuat peran baru, ini adalah kebijakan yang AWS Proton ditambahkan ke peran layanan yang dibuat untuk Anda. Saat menentukan cakupan izin pada kebijakan ini, ingatlah bahwa AWS Proton gagal jika terjadi Access Denied kesalahan.

penting

Ketahuilah bahwa kebijakan yang ditunjukkan dalam contoh berikut memberikan hak administrator kepada siapa pun yang dapat mendaftarkan template ke akun Anda. Karena kami tidak tahu sumber daya mana yang akan Anda tentukan dalam AWS Proton templat, kebijakan ini memiliki izin yang luas. Sebaiknya Anda menguraikan izin ke sumber daya tertentu yang akan digunakan di lingkungan Anda.

AWS Proton contoh kebijakan peran layanan untuk CloudFormation

Ganti 123456789012 dengan Akun AWS ID Anda.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:CancelUpdateStack",
        "cloudformation:ContinueUpdateRollback",
        "cloudformation:CreateChangeSet",
        "cloudformation:CreateStack",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DeleteStack",
        "cloudformation:DescribeChangeSet",
        "cloudformation:DescribeStackDriftDetectionStatus",
        "cloudformation:DescribeStackEvents",
        "cloudformation:DescribeStackResourceDrifts",
        "cloudformation:DescribeStacks",
        "cloudformation:DetectStackResourceDrift",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:ListChangeSets",
        "cloudformation:ListStackResources",
        "cloudformation:UpdateStack"
      ],
      "Resource": "arn:aws:cloudformation:*:123456789012:stack/AWSProton-*"
    },
    {
      "Effect": "Allow",
      "NotAction": [
        "organizations:*",
        "account:*"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": [
            "cloudformation.amazonaws.com"
          ]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeOrganization",
        "account:ListRegions"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": [
            "cloudformation.amazonaws.com"
          ]
        }
      }
    }
  ]
}

AWS Proton kebijakan kepercayaan layanan

JSON

{
  "Version":"2012-10-17",
  "Statement": {
    "Sid": "ServiceTrustRelationshipWithConfusedDeputyPrevention",
    "Effect": "Allow",
    "Principal": {
      "Service": "proton.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "StringEquals": {
        "aws:SourceAccount": "123456789012"
      },
      "ArnLike": {
        "aws:SourceArn": "arn:aws:proton:*:123456789012:environment/*"
      }
    }
  }
}

Dilihat ke bawah AWS-kebijakan peran layanan penyediaan terkelola

Berikut ini adalah contoh kebijakan peran AWS Proton layanan tercakupan yang dapat Anda gunakan jika Anda hanya memerlukan AWS Proton layanan untuk menyediakan sumber daya S3.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:CancelUpdateStack",
        "cloudformation:ContinueUpdateRollback",
        "cloudformation:CreateChangeSet",
        "cloudformation:CreateStack",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DeleteStack",
        "cloudformation:DescribeChangeSet",
        "cloudformation:DescribeStackDriftDetectionStatus",
        "cloudformation:DescribeStackEvents",
        "cloudformation:DescribeStackResourceDrifts",
        "cloudformation:DescribeStacks",
        "cloudformation:DetectStackResourceDrift",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:ListChangeSets",
        "cloudformation:ListStackResources",
        "cloudformation:UpdateStack"
      ],
      "Resource": "arn:aws:cloudformation:*:123456789012:stack/AWSProton-*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:*"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": [
            "cloudformation.amazonaws.com"
          ]
        }
      }
    }
  ]
}

AWS Proton peran layanan untuk penyedi CodeBuild aan

Sebagai anggota tim platform, Anda dapat sebagai administrator membuat peran AWS Proton layanan dan menyediakannya AWS Proton ketika Anda membuat lingkungan sebagai peran CodeBuild layanan lingkungan (codebuildRoleArnparameter tindakan CreateEnvironment API). Peran ini memungkinkan AWS Proton untuk membuat panggilan API ke layanan lain atas nama Anda ketika lingkungan atau instans layanan yang berjalan di dalamnya menggunakan penyedi CodeBuild aan untuk menyediakan infrastruktur.

Saat Anda menggunakan AWS Proton konsol untuk membuat lingkungan dan memilih untuk membuat peran baru, AWS Proton menambahkan kebijakan dengan hak administrator ke peran layanan yang dibuat untuk Anda. Saat Anda membuat peran Anda sendiri dan cakupan izin, ingatlah bahwa AWS Proton gagal pada Access Denied kesalahan.

penting

Ketahuilah bahwa kebijakan yang AWS Proton melekat pada peran yang dibuat untuk Anda memberikan hak administrator kepada siapa pun yang dapat mendaftarkan template ke akun Anda. Karena kami tidak tahu sumber daya mana yang akan Anda tentukan dalam AWS Proton templat, kebijakan ini memiliki izin yang luas. Sebaiknya Anda menguraikan izin ke sumber daya tertentu yang akan digunakan di lingkungan Anda.

AWS Proton contoh kebijakan peran layanan untuk CodeBuild

Contoh berikut memberikan izin CodeBuild untuk menyediakan sumber daya menggunakan AWS Cloud Development Kit (AWS CDK).

Ganti 123456789012 dengan Akun AWS ID Anda.

JSON

 {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Action": [
        "logs:CreateLogStream",
        "logs:CreateLogGroup",
        "logs:PutLogEvents"
      ],
      "Resource": [
        "arn:aws:logs:us-east-1:123456789012:log-group:/aws/codebuild/AWSProton-   Shell-*",
        "arn:aws:logs:us-east-1:123456789012:log-group:/aws/codebuild/AWSProton-   Shell-*:*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": "proton:NotifyResourceDeploymentStatusChange",
      "Resource": "arn:aws:proton:us-east-1:123456789012:*",
      "Effect": "Allow"
    },
    {
      "Action": "sts:AssumeRole",
      "Resource": [
        "arn:aws:iam::123456789012:role/cdk-*-deploy-role-*",
        "arn:aws:iam::123456789012:role/cdk-*-file-publishing-role-*"
      ],
      "Effect": "Allow"
    }
  ]
}

AWS Proton CodeBuild kebijakan kepercayaan

JSON

{
  "Version":"2012-10-17",
  "Statement": {
    "Sid": "CodeBuildTrustRelationshipWithConfusedDeputyPrevention",
    "Effect": "Allow",
    "Principal": {
      "Service": "codebuild.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "StringEquals": {
        "aws:SourceAccount": "123456789012"
      },
      "ArnLike": {
        "aws:SourceArn": "arn:aws:proton:*:123456789012:environment/*"
      }
    }
  }
}

AWS Proton peran layanan pipa

Untuk menyediakan pipeline layanan, AWS Proton perlu izin untuk melakukan panggilan API ke layanan lain. Peran layanan yang diperlukan mirip dengan peran layanan yang Anda berikan saat membuat lingkungan. Namun, peran untuk membuat pipeline dibagi di antara semua layanan di AWS akun Anda, dan Anda memberikan peran ini sebagai pengaturan Akun di konsol, atau melalui tindakan UpdateAccountSettings API.

Saat Anda menggunakan AWS Proton konsol untuk memperbarui pengaturan akun dan memilih untuk membuat peran baru untuk peran CloudFormation atau peran CodeBuild layanan, kebijakan yang AWS Proton ditambahkan ke peran layanan yang dibuat untuk Anda sama dengan kebijakan yang dijelaskan di bagian sebelumnya, AWS-peran penyediaan yang dikelola danCodeBuild peran penyediaan. Saat menentukan cakupan izin pada kebijakan ini, ingatlah bahwa AWS Proton gagal jika terjadi Access Denied kesalahan.

penting

Ketahuilah bahwa contoh kebijakan di bagian sebelumnya memberikan hak administrator kepada siapa pun yang dapat mendaftarkan template ke akun Anda. Karena kami tidak tahu sumber daya mana yang akan Anda tentukan dalam AWS Proton templat, kebijakan ini memiliki izin yang luas. Sebaiknya Anda menguraikan izin ke sumber daya tertentu yang akan digunakan di pipeline Anda.

AWS Proton peran komponen

Sebagai anggota tim platform, Anda dapat sebagai administrator membuat peran AWS Proton layanan dan menyediakannya AWS Proton ketika Anda membuat lingkungan sebagai peran CloudFormation komponen lingkungan (componentRoleArnparameter tindakan CreateEnvironment API). Peran ini mencakup infrastruktur yang dapat disediakan oleh komponen yang didefinisikan secara langsung. Untuk informasi selengkapnya tentang komponen, lihatAWS Proton komponen.

Kebijakan contoh berikut mendukung pembuatan komponen yang ditentukan secara langsung yang menyediakan bucket Amazon Simple Storage Service (Amazon S3) dan kebijakan akses terkait.

AWS Proton contoh kebijakan peran komponen

Ganti 123456789012 dengan Akun AWS ID Anda.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:CancelUpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DescribeStacks",
        "cloudformation:ContinueUpdateRollback",
        "cloudformation:DetectStackResourceDrift",
        "cloudformation:DescribeStackResourceDrifts",
        "cloudformation:DescribeStackEvents",
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:UpdateStack",
        "cloudformation:DescribeChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:ListChangeSets",
        "cloudformation:ListStackResources"
      ],
      "Resource": "arn:aws:cloudformation:*:123456789012:stack/AWSProton-*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucket",
        "s3:GetBucket*",
        "iam:CreatePolicy",
        "iam:DeletePolicy",
        "iam:GetPolicy",
        "iam:ListPolicyVersions",
        "iam:DeletePolicyVersion"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": "cloudformation.amazonaws.com"
        }
      }
    }
  ]
}

AWS Proton kebijakan kepercayaan komponen

JSON

{
  "Version":"2012-10-17",
  "Statement": {
    "Sid": "ServiceTrustRelationshipWithConfusedDeputyPrevention",
    "Effect": "Allow",
    "Principal": {
      "Service": "proton.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "StringEquals": {
        "aws:SourceAccount": "123456789012"
      },
      "ArnLike": {
        "aws:SourceArn": "arn:aws:proton:*:123456789012:environment/*"
      }
    }
  }
}