ステップ 3: CodeDeploy のサービスロールを作成する

AWS では、サービスロールを使用して AWS のサービスにアクセス許可を付与することで、このサービスから AWS リソースにアクセスできるようにします。サービスロールにアタッチするポリシーによって、どの AWS リソースにサービスがアクセスできるか、およびそれらのリソースで何ができるかが決まります。

CodeDeploy に作成するサービスロールで、compute platform に必要なアクセス許可がを付与する必要があります。複数の compute platform にデプロイした場合、それぞれにサービスロールを 1 つずつ作成します。アクセス権限を追加するには、AWS が指定したポリシーを 1 つ以上アタッチします。

EC2/オンプレミスデプロイでは、AWSCodeDeployRole ポリシーをアタッチします。これは、サービスロールで以下を実行するためのアクセス許可を提供します。

インスタンスのタグを読み取る、または Amazon EC2 Auto Scaling グループ名により Amazon EC2 インスタンスを識別します。
Amazon EC2 Auto Scaling グループ、ライフサイクルフック、スケーリングポリシーの読み取り、作成、更新、削除を行います。
Amazon SNS トピックに情報を公開します。
CloudWatch アラームに関する情報を取得します。
Elastic Load Balancing を読んで更新します。
注記

起動テンプレートを使用して Auto Scaling グループを作成する場合は、次のアクセス権限を追加する必要があります。
- ec2:RunInstance
- ec2:CreateTags
- iam:PassRole
詳細については、「起動テンプレートによって作成された Auto Scaling グループを使用してデプロイの作成をユーザーに許可する」、「サービスロールを作成する」、および「Auto Scaling グループの起動テンプレートの作成」を参照してください。

Amazon ECS のデプロイの場合、サポートサービスへのフルアクセスが必要な場合は、AWSCodeDeployRoleForECS ポリシーをアタッチします。これは、サービスロールで以下を実行するためのアクセス許可を提供します。

Amazon ECS タスクセットを読んで、更新、削除します。
Elastic Load Balancing ターゲットグループ、リスナー、ルールを更新します。
AWS Lambda 関数を呼び出します。
Amazon S3 バケットのリビジョンファイルにアクセスします。
CloudWatch アラームに関する情報を取得します。
Amazon SNS トピックに情報を公開します。

Amazon ECS のデプロイの場合、サポートサービスへの制限付きのアクセスが必要な場合は、AWSCodeDeployRoleForECSLimited ポリシーをアタッチします。これは、サービスロールで以下を実行するためのアクセス許可を提供します。

Amazon ECS タスクセットを読んで、更新、削除します。
CloudWatch アラームに関する情報を取得します。
Amazon SNS トピックに情報を公開します。

AWS Lambda デプロイでは、AWSCodeDeployRoleForLambda ポリシーをアタッチします。これは、サービスロールで以下を実行するためのアクセス許可を提供します。

AWS Lambda 関数およびエイリアスの読み取り、更新、呼び出しを行います。
Amazon S3 バケットのリビジョンファイルにアクセスします。
Amazon SNS トピックに情報を公開します。
CloudWatch アラームに関する情報を取得します。

また、サービスロールの設定の一環として、アクセス権限を付与するエンドポイントを指定するために信頼関係を更新します。

サービスロールを作成するには、IAM コンソール、AWS CLI、または IAM API を使用できます。

トピック

サービスロールの作成 (コンソール)
サービスロールの作成 (CLI)
サービスロール ARN の取得 (コンソール)
サービスロール ARN の取得 (CLI)

サービスロールの作成 (コンソール)

AWS マネジメントコンソールにサインインし、IAM コンソール（https://console.aws.amazon.com/iam/）を開きます。
ナビゲーションペインで [Roles] を選択し、続いて [Create role] を選択します。
[ロールの作成] ページで、[AWS サービス] を選択し、[このロールを使用するサービスを選択] リストから以下を選択します。 CodeDeploy。
[ユースケースの選択] で、ユースケースを選択します。
- EC2/オンプレミスデプロイで、[CodeDeploy] を選択します。
- Amazon ECS デプロイで、[CodeDeploy - ECS] を選択します。
- AWS Lambda デプロイで、[Lambda 用 CodeDeploy] を選択します。
[Next: Permissions] を選択します。
[アタッチされたアクセス権限ポリシー] ページに、アクセス権限ポリシーが表示されます。[次へ: タグ] を選択します。
[Review] ページの [Role name] に、サービスロールの名前を入力します (例: CodeDeployServiceRole), and then choose Create role.

また、[ロールの説明] に、このサービスロールの説明を入力することもできます。
現在サポートされているすべてのエンドポイントへのアクセス権限をサービスロールに付与する場合は、この手順を終了します。

このサービスロールが一部のエンドポイントにアクセスできないようにするには、ロールのリストで、作成したロールを参照して選択し、次のステップに進みます。
[信頼関係] タブで、[信頼関係の編集] を選択します。

次のポリシーでは、サポートされているすべてのエンドポイントにアクセスする権限をサービスロールに付与します。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

サポートされているエンドポイントの一部にのみアクセスする権限をサービスロールに付与するには、[Policy Document (ポリシードキュメント)] ボックスの内容を以下のポリシーで置き換えます。アクセスを除外するエンドポイントの行を削除し、[Update Trust Policy (信頼ポリシーの更新)] を選択します。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.us-east-2.amazonaws.com",
                    "codedeploy.us-east-1.amazonaws.com",
                    "codedeploy.us-west-1.amazonaws.com",
                    "codedeploy.us-west-2.amazonaws.com",
                    "codedeploy.eu-west-3.amazonaws.com",
                    "codedeploy.ca-central-1.amazonaws.com",
                    "codedeploy.eu-west-1.amazonaws.com",
                    "codedeploy.eu-west-2.amazonaws.com",
                    "codedeploy.eu-central-1.amazonaws.com",
                    "codedeploy.ap-east-1.amazonaws.com",
                    "codedeploy.ap-northeast-1.amazonaws.com",
                    "codedeploy.ap-northeast-2.amazonaws.com",
                    "codedeploy.ap-southeast-1.amazonaws.com",
                    "codedeploy.ap-southeast-2.amazonaws.com",
                    "codedeploy.ap-south-1.amazonaws.com",
                    "codedeploy.sa-east-1.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

サービスロールの作成方法の詳細については、IAM ユーザーガイドの「AWS サービスにアクセス許可を委任するロールの作成」を参照してください。

サービスロールの作成 (CLI)

開発マシンで、たとえば、CodeDeployDemo-Trust.json という名前のテキストファイルを作成します。このファイルは、CodeDeploy がユーザーの代理操作の実行を許可するのに使用されます。

次のいずれかを行ってください。

サポートされているすべての AWS リージョンへのアクセス権限を付与するには、ファイルに次の内容を保存します。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

サポートされているリージョンの一部にのみアクセスする権限を付与するには、ファイルに次の内容を入力し、アクセスを除外するリージョンの行を削除します。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "codedeploy.us-east-2.amazonaws.com",
                    "codedeploy.us-east-1.amazonaws.com",
                    "codedeploy.us-west-1.amazonaws.com",
                    "codedeploy.us-west-2.amazonaws.com",
                    "codedeploy.eu-west-3.amazonaws.com",
                    "codedeploy.ca-central-1.amazonaws.com",
                    "codedeploy.eu-west-1.amazonaws.com",
                    "codedeploy.eu-west-2.amazonaws.com",
                    "codedeploy.eu-central-1.amazonaws.com",
                    "codedeploy.ap-east-1.amazonaws.com",
                    "codedeploy.ap-northeast-1.amazonaws.com",
                    "codedeploy.ap-northeast-2.amazonaws.com",
                    "codedeploy.ap-southeast-1.amazonaws.com",
                    "codedeploy.ap-southeast-2.amazonaws.com",
                    "codedeploy.ap-south-1.amazonaws.com",
                    "codedeploy.sa-east-1.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

注記

リストにある最後のエンドポイントの後にコンマを使用しないでください。

同じディレクトリから、create-role コマンドを呼び出し、先ほど作成したテキストファイルの情報に基づく CodeDeployServiceRole という名前のサービスロールを作成します。
```
aws iam create-role --role-name CodeDeployServiceRole --assume-role-policy-document file://CodeDeployDemo-Trust.json
```
重要

Be sure to include file:// before the file name. It is required in this command.

コマンドの出力で、Arn オブジェクトの下にある Role エントリの値を書きとめておきます。これは、後でデプロイグループを作成する際に必要になります。値を忘れた場合は、サービスロール ARN の取得 (CLI) の手順に従います。
使用する管理ポリシーは、compute platform によって異なります。
- EC2/オンプレミス compute platform にデプロイする場合は、以下を行います。
  
  attach-role-policy コマンドを呼び出し、CodeDeployServiceRole という名前のサービスロールに対して、AWSCodeDeployRole という名前の IAM マネージドポリシーに基づくアクセス許可を付与します。例:
```
aws iam attach-role-policy --role-name CodeDeployServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSCodeDeployRole
```
- AWS Lambda compute platform にデプロイする場合は、以下を行います。
  
  attach-role-policy コマンドを呼び出し、CodeDeployServiceRole という名前のサービスロールに対して、AWSCodeDeployRoleForLambda という名前の IAM マネージドポリシーに基づくアクセス許可を付与します。例:
```
aws iam attach-role-policy --role-name CodeDeployServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSCodeDeployRoleForLambda
```
- Amazon ECS compute platform にデプロイする場合は、以下を行います。
  
  attach-role-policy コマンドを呼び出し、CodeDeployServiceRole という名前のサービスロールに対して、AWSCodeDeployRoleForECS または AWSCodeDeployRoleForECSLimited という名前の IAM マネージドポリシーに基づくアクセス許可を付与します。例:
```
aws iam attach-role-policy --role-name CodeDeployServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSCodeDeployRoleForECS
```

サービスロールの作成の詳細については、IAM ユーザーガイドの「AWS サービス用のロールを作成する」を参照してください。

サービスロール ARN の取得 (コンソール)

IAM コンソールを使用してサービスロールの ARN を取得するには:

AWS マネジメントコンソールにサインインし、IAM コンソール（https://console.aws.amazon.com/iam/）を開きます。
ナビゲーションペインで [Roles (ロール) ] を選択します。
[フィルタ] テキストボックスに、「CodeDeployServiceRole」と入力して、Enter キーを押します。
[CodeDeployServiceRole] を選択します。
[ロールの ARN] フィールドの値を書き留めます。

サービスロール ARN の取得 (CLI)

AWS CLI を使用してサービスロールの ARN を取得するには、CodeDeployServiceRole という名前のサービスロールに対して get-role コマンドを呼び出します。


aws iam get-role --role-name CodeDeployServiceRole --query "Role.Arn" --output text

返される値はサービスロールの ARN です。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

« 前次 »