고급 설정 - AWS CodeBuild
IAM 그룹 또는 사용자에게 CodeBuild 액세스 권한 추가CodeBuild 서비스 역할 생성고객 관리형 키 생성AWS CLI 설치 및 구성

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

고급 설정

콘솔을 사용하여 시작하기의 단계를 따라 처음으로 AWS CodeBuild에 액세스하는 경우 이 주제의 정보가 거의 필요 없습니다. 그러나, 계속하여 CodeBuild를 사용하게 되면 조직의 IAM 그룹 및 사용자에게 CodeBuild에 대한 액세스 권한 부여, CodeBuild에 액세스할 수 있도록 IAM 또는 AWS KMS keys의 기존 서비스 역할 수정, CodeBuild에 액세스할 수 있도록 조직 워크스테이션 전반의 AWS CLI 설정 등과 같은 작업이 필요할 수 있습니다. 이 주제에서는 관련 설치 단계를 완료하는 방법을 설명합니다.

이미 AWS 계정을 가지고 있다고 가정합니다. 단, 아직 계정이 없으면 http://aws.amazon.com으로 이동하고, 콘솔에 로그인을 선택하고, 온라인 지침을 따릅니다.

IAM 그룹 또는 사용자에게 CodeBuild 액세스 권한 추가

IAM 그룹 또는 사용자로 AWS CodeBuild에 액세스하려면 액세스 권한을 추가해야 합니다. 이 섹션에서는 IAM 콘솔이나 AWS CLI를 사용하여 이를 수행하는 방법을 설명합니다.

AWS 루트 계정(권장 안 함)을 사용하여 또는 AWS 계정의 관리자 사용자로 CodeBuild에 액세스하는 경우 다음 지침을 따르지 않아도 됩니다.

AWS 계정 루트 사용자 및 관리자 사용자에 대한 자세한 내용은 사용 설명서에서 AWS 계정 루트 사용자 및 첫 번째 AWS 계정 루트 사용자 및 그룹 생성을 참조하세요.

IAM 그룹 또는 사용자에게 CodeBuild 액세스 권한을 추가하려면(콘솔)

  1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

    다음 중 하나를 사용하여 AWS Management Console에 이미 로그인되어 있어야 합니다.

    • 사용자의 AWS 루트 계정. 이는 권장하지 않습니다. 자세한 내용은 사용 설명서의 AWS 계정 루트 사용자를 참조하세요.

    • AWS 계정의 관리자 사용자. 자세한 내용은 사용 설명서에서 첫 번째 AWS 계정 루트 사용자 및 그룹 생성을 참조하세요.

    • 최소한 다음 작업 세트를 수행할 수 있는 권한이 있는 AWS 계정의 사용자.

      iam:AttachGroupPolicy
iam:AttachUserPolicy
iam:CreatePolicy
iam:ListAttachedGroupPolicies
iam:ListAttachedUserPolicies
iam:ListGroups
iam:ListPolicies
iam:ListUsers

      자세한 내용은 사용 설명서의 IAM 정책 개요를 참조하세요.

  2. 탐색 창에서 Policies(정책)을 선택합니다.

  3. IAM 그룹이나 IAM 사용자에게 사용자 지정 AWS CodeBuild 액세스 권한 세트를 추가하려면 이 절차의 4단계로 이동합니다.

    IAM 그룹이나 IAM 사용자에게 기본 CodeBuild 액세스 권한 세트를 추가하려면 정책 유형, AWS 관리형을 선택한 후 다음을 수행합니다.

    • CodeBuild에 대한 전체 액세스 권한을 추가하려면 AWSCodeBuildAdminAccess 확인란을 선택하고 정책 작업을 선택한 다음, 연결을 선택합니다. 대상 IAM그룹 및 사용자 옆의 확인란을 선택하고 정책 연결을 선택합니다. [AmazonS3ReadOnlyAccess] 및 [IAMFullAccess]라는 정책에 대해서도 이 절차를 반복합니다.

    • 빌드 프로젝트 관리를 제외한 모든 항목에 CodeBuild에 대한 액세스 권한을 추가하려면 AWSCodeBuildDeveloperAccess 확인란을 선택하고 정책 작업을 선택한 다음, 연결을 선택합니다. 대상 IAM그룹 및 사용자 옆의 확인란을 선택하고 정책 연결을 선택합니다. [AmazonS3ReadOnlyAccess] 정책에 대해서도 이 절차를 반복합니다.

    • CodeBuild에 대해 읽기 전용 액세스 권한을 추가하려면 AWSCodeBuildReadOnlyAccess 확인란을 선택합니다. 대상 IAM그룹 및 사용자 옆의 확인란을 선택하고 정책 연결을 선택합니다. [AmazonS3ReadOnlyAccess] 정책에 대해서도 이 절차를 반복합니다.

    이제 IAM 그룹 또는 사용자에게 기본 CodeBuild 액세스 권한 세트가 추가되었습니다. 이 절차의 나머지 단계는 건너뜁니다.

  4. 정책 생성(Create Policy)을 선택합니다.

  5. [Create Policy] 페이지에서 [Create Your Own Policy] 옆의 [Select]를 선택합니다.

  6. 정책 검토 페이지의 정책 이름에 정책 이름을 입력합니다(예: CodeBuildAccessPolicy). 다른 이름을 사용하는 경우 이 절차 전체에서 해당 이름을 사용해야 합니다.

  7. 정책 문서에 다음을 입력한 다음 정책 생성을 선택합니다.

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CodeBuildAccessPolicy",
      "Effect": "Allow",
      "Action": [
        "codebuild:*"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CodeBuildRolePolicy",
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::account-ID:role/role-name"
    },
    {
      "Sid": "CloudWatchLogsAccessPolicy",
      "Effect": "Allow",
      "Action": [
        "logs:FilterLogEvents",
        "logs:GetLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3AccessPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:GetObject",
        "s3:List*",
        "s3:PutObject"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3BucketIdentity",
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Resource": "*"
    }
  ]
}
    참고

    다음 정책은 모든 CodeBuild 작업 및 대다수의 AWS 리소스에 대한 액세스를 허용합니다. 특정 CodeBuild 작업으로 권한을 제한하려면 CodeBuild 정책 명령에서 codebuild:*의 값을 변경합니다. 자세한 내용은 자격 증명 및 액세스 관리 섹션을 참조하세요. 특정 AWS 리소스로 액세스를 제한하려면 Resource 객체 값을 변경하십시오. 자세한 내용은 자격 증명 및 액세스 관리 섹션을 참조하세요.

    이 CodeBuildRolePolicy 문은 빌드 프로젝트를 생성하거나 수정할 수 있도록 하는 데 필요합니다.

  8. 탐색 창에서 [Groups] 또는 [Users]를 선택합니다.

  9. 그룹 또는 사용자 목록에서 CodeBuild 액세스 권한을 추가하려는 IAM 그룹 또는 IAM 사용자의 이름을 선택합니다.

  10. 그룹의 경우 그룹 설정 페이지의 권한 탭에서 관리형 정책을 확장한 다음 정책 연결을 선택합니다.

    사용자의 경우 사용자 설정 페이지의 [Permissions] 탭에서 [Add permissions]를 선택합니다.

  11. 그룹의 경우 정책 연결 페이지에서 CodeBuildAccessPolicy를 선택한 후 정책 연결을 선택합니다.

    사용자의 경우 권한 추가 페이지에서 기존 정책 직접 연결을 선택합니다. CodeBuildAccessPolicy, 다음: 검토를 차례로 선택한 후 권한 추가를 선택합니다.

CodeBuild 액세스 권한을 IAM 그룹 또는 사용자에게 추가하려면(AWS CLI)

  1. 이전 절차에서 설명한 대로 IAM 엔터티 중 하나에 해당하는 AWS 액세스 키 및 AWS 비밀 액세스 키를 사용하여 AWS CLI를 구성했는지 확인합니다. 자세한 내용은 AWS Command Line Interface 사용 설명서의 AWS Command Line Interface 설정을 참조하세요.

  2. IAM 그룹이나 IAM 사용자에게 사용자 지정 AWS CodeBuild 액세스 권한 세트를 추가하려면 이 절차의 3단계로 이동합니다.

    IAM 그룹 또는 IAM 사용자에게 기본 CodeBuild 액세스 권한 세트를 추가하려면 다음을 수행합니다.

    IAM 그룹 또는 사용자에게 권한을 추가할 것인지에 따라 다음 명령 중 하나를 실행합니다.

    aws iam attach-group-policy --group-name group-name --policy-arn policy-arn

aws iam attach-user-policy --user-name user-name --policy-arn policy-arn

    group-name 또는 user-name을 IAM 그룹 이름 또는 사용자 이름으로 변경하고 다음 정책 Amazon 리소스 이름(ARN)마다 한 번씩 policy-arn을 변경하는 등 명령을 3번 실행해야 합니다.

    • CodeBuild에 전체 액세스 권한을 추가하려면 다음 정책 ARN을 사용합니다.

      • arn:aws:iam::aws:policy/AWSCodeBuildAdminAccess

      • arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

      • arn:aws:iam::aws:policy/IAMFullAccess

    • CodeBuild에 빌드 프로젝트 관리를 제외한 전체 액세스 권한을 추가하려면 다음 정책 ARN을 사용합니다.

      • arn:aws:iam::aws:policy/AWSCodeBuildDeveloperAccess

      • arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

    • CodeBuild에 읽기 전용 액세스 권한을 추가하려면 다음 정책 ARN을 사용합니다.

      • arn:aws:iam::aws:policy/AWSCodeBuildReadOnlyAccess

      • arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

    이제 IAM 그룹 또는 사용자에게 기본 CodeBuild 액세스 권한 세트가 추가되었습니다. 이 절차의 나머지 단계는 건너뜁니다.

  3. AWS CLI가 설치된 로컬 워크스테이션 또는 인스턴스의 빈 디렉터리에 put-group-policy.json 또는 put-user-policy.json이라는 파일을 생성합니다. 다른 파일 이름을 선택하는 경우 이 절차 전체에서 해당 이름을 사용해야 합니다.

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CodeBuildAccessPolicy",
      "Effect": "Allow",
      "Action": [
        "codebuild:*"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CodeBuildRolePolicy",
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::account-ID:role/role-name"
    },
    {
      "Sid": "CloudWatchLogsAccessPolicy",
      "Effect": "Allow",
      "Action": [
        "logs:FilterLogEvents",
        "logs:GetLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3AccessPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:GetObject",
        "s3:List*",
        "s3:PutObject"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3BucketIdentity",
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Resource": "*"
    }
  ]
}
    참고

    다음 정책은 모든 CodeBuild 작업 및 대다수의 AWS 리소스에 대한 액세스를 허용합니다. 특정 CodeBuild 작업으로 권한을 제한하려면 CodeBuild 정책 명령에서 codebuild:*의 값을 변경합니다. 자세한 내용은 자격 증명 및 액세스 관리 섹션을 참조하세요. 특정 AWS 리소스로 액세스를 제한하려면 관련된 Resource 객체 값을 변경하십시오. 자세한 정보는 자격 증명 및 액세스 관리 또는 특정 AWS 서비스의 보안 설명서를 참조하십시오.

    이 CodeBuildRolePolicy 문은 빌드 프로젝트를 생성하거나 수정할 수 있도록 하는 데 필요합니다.

  4. 파일을 저장한 디렉터리로 전환한 다음, 다음 명령 중 하나를 실행합니다. CodeBuildGroupAccessPolicy 및 CodeBuildUserAccessPolicy에 다른 값을 사용할 수도 있습니다. 다른 값을 사용하는 경우 여기에서 사용해야 합니다.

    IAM 그룹의 경우:

    aws iam put-group-policy --group-name group-name --policy-name CodeBuildGroupAccessPolicy --policy-document file://put-group-policy.json

    사용자의 경우:

    aws iam put-user-policy --user-name user-name --policy-name CodeBuildUserAccessPolicy --policy-document file://put-user-policy.json

    앞의 명령에서 group-name 또는 user-name을 대상 IAM 그룹 또는 사용자의 이름으로 변경합니다.

CodeBuild 서비스 역할 생성

CodeBuild가 사용자를 대신하여 종속 AWS 서비스와 상호 작용할 수 있으려면 AWS CodeBuild 서비스 역할이 있어야 합니다. CodeBuild 또는 AWS CodePipeline 콘솔을 사용하면 CodeBuild 서비스 역할을 생성할 수 있습니다. 자세한 내용은 다음을 참조하세요.

이러한 콘솔을 사용하지 않을 사용자를 위해 이 섹션에서는 IAM 콘솔 또는 AWS CLI를 사용하여 CodeBuild 서비스 역할을 생성하는 방법을 설명합니다.

중요

CodeBuild에서는 사용자를 대신하여 수행되는 모든 작업에 대해 서비스 역할을 사용합니다. 역할에 사용자에게 불필요한 권한이 포함되어 있는 경우 사용자의 권한을 실수로 에스컬레이션할 수 있습니다. 이 역할은 최소한의 권한을 부여해야 합니다.

이 페이지에서 설명하는 서비스 역할에는 CodeBuild를 사용하기 위해 필요한 최소한의 권한을 부여하는 정책이 포함되어 있습니다. 사용 사례에 따라 다른 권한을 추가해야 할 수 있습니다.

CodeBuild 서비스 역할을 생성하려면(콘솔)

  1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

    다음 중 하나를 사용하여 콘솔에 이미 로그인되어 있어야 합니다.

    • 사용자의 AWS 루트 계정. 이는 권장하지 않습니다. 자세한 내용은 사용 설명서의 AWS 계정 루트 사용자를 참조하세요.

    • AWS 계정의 관리자 사용자. 자세한 내용은 사용 설명서에서 첫 번째 AWS 계정 루트 사용자 및 그룹 생성을 참조하세요.

    • 최소한 다음 작업 세트를 수행할 수 있는 권한이 있는 AWS 계정의 사용자.

      iam:AddRoleToInstanceProfile
iam:AttachRolePolicy
iam:CreateInstanceProfile
iam:CreatePolicy
iam:CreateRole
iam:GetRole
iam:ListAttachedRolePolicies
iam:ListPolicies
iam:ListRoles
iam:PassRole
iam:PutRolePolicy
iam:UpdateAssumeRolePolicy

      자세한 내용은 사용 설명서의 IAM 정책 개요를 참조하세요.

  2. 탐색 창에서 Policies(정책)을 선택합니다.

  3. 정책 생성(Create Policy)을 선택합니다.

  4. [Create Policy] 페이지에서 [JSON]을 선택합니다.

  5. JSON 정책에 대해 다음을 입력한 다음 정책 검토를 선택합니다.

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudWatchLogsPolicy",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CodeCommitPolicy",
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3GetObjectPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:GetObjectVersion"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3PutObjectPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": "*"
    },
    {
      "Sid": "ECRPullPolicy",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "*"
    },
    {
      "Sid": "ECRAuthPolicy",
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3BucketIdentity",
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Resource": "*"
    }
  ]
}
    참고

    다음 정책에는 대다수의 AWS 리소스에 대한 액세스를 허용하는 명령문이 포함되어 있습니다. 특정 AWS 리소스로 AWS CodeBuild 액세스를 제한하려면 Resource 어레이 값을 변경하십시오. 자세한 정보는 AWS 서비스의 보안 설명서를 참조하십시오.

  6. 정책 검토 페이지의 정책 이름에 정책의 이름(예: CodeBuildServiceRolePolicy)을 입력한 후 정책 생성을 선택합니다.

    참고

    다른 이름을 사용하는 경우 이 절차 전체에서 해당 이름을 사용해야 합니다.

  7. 탐색 창에서 역할을 선택합니다.

  8. Create role(역할 생성)을 선택합니다.

  9. 역할 생성 페이지에서 AWS 서비스가 이미 선택되어 있으면 CodeBuild를 선택하고 다음: 권한을 선택합니다.

  10. 권한 정책 연결 페이지에서 CodeBuildServiceRolePolicy를 선택한 후 다음: 검토를 선택합니다.

  11. 역할 생성 및 검토 페이지의 역할 이름에 역할의 이름(예: CodeBuildServiceRole)을 입력한 후 역할 생성을 선택합니다.

CodeBuild 서비스 역할을 생성하려면(AWS CLI)

  1. 이전 절차에서 설명한 대로 IAM 엔터티 중 하나에 해당하는 AWS 액세스 키 및 AWS 비밀 액세스 키를 사용하여 AWS CLI를 구성했는지 확인합니다. 자세한 내용은 AWS Command Line Interface 사용 설명서의 AWS Command Line Interface 설정을 참조하세요.

  2. AWS CLI가 설치된 로컬 워크스테이션 또는 인스턴스의 빈 디렉터리에 create-role.json 및 put-role-policy.json이라는 두 개의 파일을 생성합니다. 다른 파일 이름을 선택하는 경우 이 절차 전체에서 해당 이름으로 바꿉니다.

    create-role.json:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "codebuild.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
    참고

    혼동된 대리자 문제로부터 자신을 보호하기 위하여 aws:SourceAccount 및 aws:SourceArn 조건 키를 사용할 것을 권장합니다. 예를 들어 다음 조건 블록을 사용해서 이전 신뢰 정책을 편집할 수 있습니다. aws:SourceAccount는 CodeBuild 프로젝트의 소유자이고 aws:SourceArn은 CodeBuild 프로젝트 ARN입니다.

    서비스 역할을 AWS 계정으로 제한하려는 경우 create-role.json이 다음과 비슷할 수 있습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "codebuild.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": [
                        "account-ID"
                    ]
                }
            }
        }
    ]
}

    서비스 역할을 특정 CodeBuild 프로젝트로 제한하려는 경우 create-role.json이 다음과 비슷할 수 있습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "codebuild.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:codebuild:region-ID:account-ID:project/project-name"
                }
            }
        }
    ]
}
    참고

    CodeBuild 프로젝트의 이름을 모르거나 아직 결정하지 않은 상태에서 특정 ARN 패턴에 대한 신뢰 정책 제한을 적용하려면 ARN의 해당 부분을 와일드카드(*)로 바꿀 수 있습니다. 프로젝트를 생성한 후 신뢰 정책을 업데이트할 수 있습니다.

    put-role-policy.json:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudWatchLogsPolicy",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CodeCommitPolicy",
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3GetObjectPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:GetObjectVersion"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3PutObjectPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": "*"
    },
    {
      "Sid": "S3BucketIdentity",
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Resource": "*"
    }
  ]
}
    참고

    다음 정책에는 대다수의 AWS 리소스에 대한 액세스를 허용하는 명령문이 포함되어 있습니다. 특정 AWS 리소스로 AWS CodeBuild 액세스를 제한하려면 Resource 어레이 값을 변경하십시오. 자세한 정보는 AWS 서비스의 보안 설명서를 참조하십시오.

  3. 앞의 파일을 저장한 디렉터리로 전환한 다음, 다음 두 가지 명령을 다음 순서로 한 번에 하나씩 실행합니다. CodeBuildServiceRole과 CodeBuildServiceRolePolicy에 다른 값을 사용하려면 여기에서 사용해야 합니다.

    aws iam create-role --role-name CodeBuildServiceRole --assume-role-policy-document file://create-role.json
    aws iam put-role-policy --role-name CodeBuildServiceRole --policy-name CodeBuildServiceRolePolicy --policy-document file://put-role-policy.json

CodeBuild용 고객 관리형 키를 생성하고 구성합니다.

AWS CodeBuild에서 빌드 출력 아티팩트를 암호화하려면 KMS 키에 액세스할 수 있어야 합니다. 기본적으로 CodeBuild는 AWS 계정의 Amazon S3에 AWS 관리형 키를 사용합니다.

AWS 관리형 키를 사용하지 않으려면 고객 관리형 키를 사용자가 직접 생성 및 구성해야 합니다. 이 섹션에서는 IAM 콘솔을 사용하여 이를 수행하는 방법을 설명합니다.

고객 관리형 키에 대한 자세한 내용은 AWS KMS 개발자 가이드의 AWS Key Management Service 개념 및 키 생성을 참조하세요.

CodeBuild에서 사용할 고객 관리형 키를 구성하려면 AWS KMS 개발자 안내서의 키 정책 수정의 “키 정책 수정 방법” 섹션에 있는 지침을 따르세요. 그런 다음 키 정책에 다음 명령문(### BEGIN ADDING STATEMENTS HERE ###과 ### END ADDING STATEMENTS HERE ### 사이)을 추가합니다. 간결하게 나타내고 명령문 추가 위치를 알 수 있도록 줄임표(...)가 사용되었습니다. 어떤 명령문도 제거하지 않아야 하며, 이러한 줄임표는 키 정책에 입력하지 않아야 합니다.

{
  "Version": "2012-10-17",
  "Id": "...",
  "Statement": [
    ### BEGIN ADDING STATEMENTS HERE ###
    {
      "Sid": "Allow access through Amazon S3 for all principals in the account that are authorized to use Amazon S3",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "s3.region-ID.amazonaws.com",
          "kms:CallerAccount": "account-ID"
        }
      }
    },
    {
      "Effect": "Allow", 
      "Principal": {
        "AWS": "arn:aws:iam::account-ID:role/CodeBuild-service-role"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    ### END ADDING STATEMENTS HERE ###
    {
      "Sid": "Enable IAM User Permissions",
      ...
    },
    {
      "Sid": "Allow access for Key Administrators",
      ...
    },
    {
      "Sid": "Allow use of the key",
      ...
    },
    {
      "Sid": "Allow attachment of persistent resources",
      ...
    }
  ]
}

  • region-ID는 CodeBuild가 연결된 Amazon S3 버킷이 있는 AWS 리전의 ID를 나타냅니다(예: us-east-1).

  • account-ID는 고객 관리형 키를 소유하는 AWS 계정의 ID를 나타냅니다.

  • CodeBuild-service-role은 이 주제의 앞부분에서 생성하거나 식별한 CodeBuild 서비스 역할 이름을 나타냅니다.

참고

IAM 콘솔을 통해 고객 관리형 키를 생성 또는 구성하려면 먼저 다음 중 하나를 사용하여 AWS Management Console에 로그인해야 합니다.

AWS CLI 설치 및 구성

AWS CodeBuild에 액세스하기 위해 CodeBuild 콘솔, CodePipeline 콘솔 또는 AWS SDK와 함께(이러한 기능 대신) AWS CLI를 사용할 수 있습니다. AWS CLI를 아직 설치 및 구성하지 않은 경우 AWS Command Line Interface 사용 설명서의 AWS Command Line Interface 설정을 참조하세요.

  1. 다음 명령을 실행하여 CodeBuild에 AWS CLI를 설치할 수 있는지 여부를 확인합니다.

    aws codebuild list-builds

    이 명령이 제대로 실행되면 다음과 비슷한 정보가 출력에 표시됩니다.

    {
  "ids": []
}

    빈 대괄호는 실행한 빌드가 아직 없다는 의미입니다.

  2. 오류가 출력되면 현재 AWS CLI 버전을 제거한 다음 최신 버전을 설치해야 합니다. 자세한 내용은 AWS Command Line Interface 사용 설명서의 AWS CLI 제거 및 AWS Command Line Interface 설치를 참조하세요.