CodeDeploy アクセス許可リファレンス

ID にアタッチできるアクセス許可ポリシー IAM (アイデンティティベースのポリシー) を設定および書き込みする場合は、次の表を使用します。テーブルには、各 CodeDeploy APIオペレーション、アクションを実行するためのアクセス許可を付与できるアクション、アクセス許可を付与ARNするために使用するリソースの形式が一覧表示されます。アクションは、ポリシーの Action フィールドで指定します。ポリシーの Resourceフィールドにリソース値としてARN、ワイルドカード文字 (*) の有無にかかわらず を指定します。

CodeDeploy ポリシーで AWS全体の条件キーを使用して条件を表現できます。 AWS全体のキーの完全なリストについては、「 ユーザーガイド」の「使用可能なキー」を参照してください。 IAM

アクションを指定するには、codedeploy:プレフィックスの後にAPIオペレーション名 (例: codedeploy:GetApplicationおよび codedeploy:CreateApplication) を使用します。単一のステートメントに複数のアクションを指定するには、コンマで区切ります (例えば、"Action": ["codedeploy:action1", "codedeploy:action2"])。

ワイルドカード文字の使用

でワイルドカード文字 (*) を使用してARN、複数のアクションまたはリソースを指定できます。例えば、 codedeploy:*はすべての CodeDeploy アクションを指定し、 という単語で始まるすべての CodeDeploy アクションcodedeploy:Get*を指定しますGet。次の例では、West で始まり、名前が Test で始まるアプリケーションに関連付けられている名前を持つすべてのデプロイグループにアクセス権限を付与します。

arn:aws:codedeploy:us-west-2:444455556666:deploymentgroup:Test*/West*

表に表示されている次のリソースでワイルドカードを使用できます。

• application-name

• deployment-group-name

• deployment-configuration-name

• instance-ID

ワイルドカードは では使用できません region または account-id。 ワイルドカードの詳細については、IAM「 ユーザーガイドIAM」の「識別子」を参照してください。

注記

各アクションARNの では、コロン (:) がリソースに従います。また、リソースの後にスラッシュ (/) を使用できます。詳細については、CodeDeploy「 の例ARNs」を参照してください。

スクロールバーを使用して、テーブルの残りの部分を確認します。

CodeDeploy API オペレーションとアクションに必要なアクセス許可

CodeDeploy API オペレーション	必要なアクセス許可 (API アクション）	リソース
AddTagsToOnPremisesInstances	codedeploy:AddTagsToOnPremisesInstances 1 つ以上のオンプレミスインスタンスにタグを追加するために必要です。	arn:aws:codedeploy:region:account-id:instance/instance-ID
BatchGetApplicationRevisions	codedeploy:BatchGetApplicationRevisions ユーザーに関連付けられた複数のアプリケーションリビジョンに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:application:application-name
BatchGetApplications	codedeploy:BatchGetApplications ユーザーに関連付けられた複数のアプリケーションに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:application:*
BatchGetDeploymentGroups	codedeploy:BatchGetDeploymentGroups ユーザーに関連付けられた複数のデプロイグループに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
BatchGetDeploymentInstances	codedeploy:BatchGetDeploymentInstances デプロイグループ内の 1 つ以上のインスタンスに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
BatchGetDeployments	codedeploy:BatchGetDeployments ユーザーに関連付けられた複数のデプロイに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
BatchGetOnPremisesInstances	codedeploy:BatchGetOnPremisesInstances 1 つ以上のオンプレミスインスタンスに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:*
ContinueDeployment	codedeploy:ContinueDeployment ブルー/グリーンデプロイ中に、Elastic Load Balancing ロードバランサーを使用して置き換え先環境にインスタンスを登録するプロセスを開始するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
CreateApplication	codedeploy:CreateApplication ユーザーに関連付けられたアプリケーションを作成するために必要です。	arn:aws:codedeploy:region:account-id:application:application-name
CreateDeployment 1	codedeploy:CreateDeployment ユーザーに関連付けられたアプリケーションのデプロイを作成するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
CreateDeploymentConfig	codedeploy:CreateDeploymentConfig ユーザーに関連付けられたカスタムデプロイ設定を作成するために必要です。	arn:aws:codedeploy:region:account-id:deploymentconfig:deployment-configuration-name
CreateDeploymentGroup	codedeploy:CreateDeploymentGroup ユーザーに関連付けられたアプリケーションのデプロイグループを作成するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
DeleteApplication	codedeploy:DeleteApplication ユーザーに関連付けられたアプリケーションを削除するために必要です。	arn:aws:codedeploy:region:account-id:application:application-name
DeleteDeploymentConfig	codedeploy:DeleteDeploymentConfig ユーザーに関連付けられたカスタムデプロイ設定を削除するために必要です。	arn:aws:codedeploy:region:account-id:deploymentconfig:deployment-configuration-name
DeleteDeploymentGroup	codedeploy:DeleteDeploymentGroup ユーザーに関連付けられたアプリケーションのデプロイグループを削除するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
DeregisterOnPremisesInstance	codedeploy:DeregisterOnPremisesInstance オンプレミスインスタンスを登録解除するために必要です。	arn:aws:codedeploy:region:account-id:instance/instance-ID
GetApplication	codedeploy:GetApplication ユーザーに関連付けられた単一のアプリケーションに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:application:application-name
GetApplicationRevision	codedeploy:GetApplicationRevision ユーザーに関連付けられたアプリケーションの単一のアプリケーションのリビジョンに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:application:application-name
GetDeployment	codedeploy:GetDeployment ユーザーに関連付けられたアプリケーションのデプロイグループへの単一のデプロイに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
GetDeploymentConfig	codedeploy:GetDeploymentConfig ユーザーに関連付けられた単一のデプロイ設定に関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentconfig:deployment-configuration-name
GetDeploymentGroup	codedeploy:GetDeploymentGroup ユーザーに関連付けられたアプリケーションの単一のデプロイグループに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
GetDeploymentInstance	codedeploy:GetDeploymentInstance ユーザーに関連付けられたデプロイの単一のインスタンスに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
GetDeploymentTarget	codedeploy:GetDeploymentTarget ユーザーに関連付けられたデプロイのターゲットに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
GetOnPremisesInstance	codedeploy:GetOnPremisesInstance 単一のオンプレミスインスタンスに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:instance/instance-ID
ListApplicationRevisions	codedeploy:ListApplicationRevisions ユーザーに関連付けられたアプリケーションのすべてのアプリケーションリビジョンに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:application:*
ListApplications	codedeploy:ListApplications ユーザーに関連付けられたすべてのアプリケーションに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:application:*
ListDeploymentConfigs	codedeploy:ListDeploymentConfigs ユーザーに関連付けられたすべてのデプロイ設定に関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentconfig:*
ListDeploymentGroups	codedeploy:ListDeploymentGroups ユーザーに関連付けられたアプリケーションのすべてのデプロイグループに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/*
ListDeploymentInstances	codedeploy:ListDeploymentInstances ユーザーまたは AWS アカウントに関連付けられたデプロイ内のすべてのインスタンスに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
ListDeployments	codedeploy:ListDeployments ユーザーに関連付けられたデプロイグループへのすべてのデプロイに関する情報、またはユーザーに関連付けられたすべてのデプロイに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
ListDeploymentTargets	codedeploy:ListDeploymentTargets ユーザーに関連付けられたデプロイのすべてのターゲットに関する情報を取得するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
ListGitHubAccountTokenNames	codedeploy:ListGitHubAccountTokenNames GitHub アカウントへの保存された接続の名前のリストを取得するために必要です。	arn:aws:codedeploy:region:account-id:*
ListOnPremisesInstances	codedeploy:ListOnPremisesInstances 1 つ以上のオンプレミスインスタンス名のリストを取得するために必要です。	arn:aws:codedeploy:region:account-id:*
PutLifecycleEventHookExecutionStatus	codedeploy:PutLifecycleEventHookExecutionStatus ライフサイクルフックイベントの実行ステータスの通知を提供する場合は必須です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
RegisterApplicationRevision	codedeploy:RegisterApplicationRevision ユーザーに関連付けられたアプリケーションのアプリケーションリビジョンに関する情報を登録するために必要です。	arn:aws:codedeploy:region:account-id:application:application-name
RegisterOnPremisesInstance	codedeploy:RegisterOnPremisesInstance オンプレミスインスタンスを に登録するために必要です CodeDeploy。	arn:aws:codedeploy:region:account-id:instance/instance-ID
RemoveTagsFromOnPremisesInstances	codedeploy:RemoveTagsFromOnPremisesInstances 1 つ以上のオンプレミスインスタンスからタグを削除するために必要です。	arn:aws:codedeploy:region:account-id:instance/instance-ID
SkipWaitTimeForInstanceTermination	codedeploy:SkipWaitTimeForInstanceTermination 指定された待機時間をオーバーライドし、元の環境でインスタンスを直ちに終了させるために ブルー/グリーンデプロイで必要です。	arn:aws:codedeploy:region:account-id:instance/instance-ID
StopDeployment	codedeploy:StopDeployment ユーザーに関連付けられたアプリケーションのデプロイグループへの進行中のデプロイを停止するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
UpdateApplication 3	codedeploy:UpdateApplication ユーザーに関連付けられたアプリケーションに関する情報を変更するために必要です。	arn:aws:codedeploy:region:account-id:application:application-name
UpdateDeploymentGroup 3	codedeploy:UpdateDeploymentGroup ユーザーに関連付けられたアプリケーションで単一のデプロイグループに関する情報を変更するために必要です。	arn:aws:codedeploy:region:account-id:deploymentgroup:application-name/deployment-group-name
CreateDeployment アクセス許可を指定する場合は、デプロイ設定および GetDeploymentConfig の GetApplicationRevision アクセス許可、またはアプリケーションリビジョンへの RegisterApplicationRevision アクセス許可も指定する必要があります。さらに、CreateDeploymentAPI通話に overrideAlarmConfigurationパラメータを含める場合は、 UpdateDeploymentGroup アクセス許可を指定する必要があります。 ListDeployments 特定のデプロイグループを指定する場合には有効ですが、ユーザーに関連付けられたすべてのデプロイを一覧表示する場合には有効ではありません。 UpdateApplication については、古いアプリケーション名と新しいアプリケーション名の両方に対する UpdateApplication アクセス許可が必要です。デプロイグループの名前の変更を伴う UpdateDeploymentGroup アクションの場合、古いデプロイグループ名と新しいデプロイグループ名の両方に対する UpdateDeploymentGroup アクセス許可が必要です。