Permissões e exemplos de AWS CodeStar notificações

As declarações e exemplos de políticas a seguir podem ajudar você a gerenciar AWS CodeStar as notificações.

Permissões relacionadas a notificações em políticas gerenciadas de acesso total

As políticas FullAccess gerenciadas AWSCodeCommitFullAccessAWSCodeBuildAdminAccessAWSCodeDeployFullAccess,,, e AWSCodePipeline_ incluem as seguintes declarações para permitir acesso total às notificações no console do Developer Tools. Os usuários com uma dessas políticas gerenciadas aplicadas também podem criar e gerenciar SNS tópicos da Amazon para notificações, inscrever e cancelar a inscrição de usuários em tópicos e listar tópicos para escolher como alvos para as regras de notificação.

nota

Na política gerenciada, a chave de condição codestar-notifications:NotificationsForResource terá um valor específico para o tipo de recurso do serviço. Por exemplo, na política de acesso total para CodeCommit, o valor éarn:aws:codecommit:*.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:SetTopicAttributes"
        ],
        "Resource": "arn:aws:sns:*:*:codestar-notifications*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Permissões relacionadas a notificações em políticas gerenciadas somente leitura

As políticas ReadOnlyAccess gerenciadas AWSCodeCommitReadOnlyAccessAWSCodeBuildReadOnlyAccessAWSCodeDeployReadOnlyAccess,,, e AWSCodePipeline_ incluem as seguintes declarações para permitir acesso somente para leitura às notificações. Por exemplo, elas podem exibir notificações de recursos no console do Developer Tools, mas não podem criar, gerenciar ou se inscrever neles.

nota

Na política gerenciada, a chave de condição codestar-notifications:NotificationsForResource terá um valor específico para o tipo de recurso do serviço. Por exemplo, na política de acesso total para CodeCommit, o valor éarn:aws:codecommit:*.

   {
        "Sid": "CodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:DescribeNotificationRule"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListEventTypes",
            "codestar-notifications:ListTargets"
        ],
        "Resource": "*"
    }

Permissões relacionadas a notificações em outras políticas gerenciadas

As políticas AWSCodeBuildDeveloperAccessgerenciadas AWSCodeCommitPowerUserAWSCodeBuildDeveloperAccess,, e incluem as seguintes declarações para permitir que os desenvolvedores com uma dessas políticas gerenciadas aplicadas criem, editem e assinem notificações. Elas não podem excluir regras de notificação ou gerenciar tags para recursos.

nota

Na política gerenciada, a chave de condição codestar-notifications:NotificationsForResource terá um valor específico para o tipo de recurso do serviço. Por exemplo, na política de acesso total para CodeCommit, o valor éarn:aws:codecommit:*.

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:<vendor-code>:*"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

Exemplo: uma política em nível de administrador para gerenciar notificações AWS CodeStar

Neste exemplo, você deseja conceder a um IAM usuário da sua AWS conta acesso total às AWS CodeStar Notificações para que o usuário possa revisar os detalhes das regras de notificação e listar as regras de notificação, os alvos e os tipos de eventos. Você também deseja permitir que o usuário adicione, atualize e exclua regras de notificação. Essa é uma política de acesso total, equivalente às permissões de notificação incluídas como parte das políticas FullAccess gerenciadas AWSCodeBuildAdminAccessAWSCodeCommitFullAccessAWSCodeDeployFullAccess,,, e AWSCodePipeline_. Como essas políticas gerenciadas, você só deve anexar esse tipo de declaração de política a IAM usuários, grupos ou funções que exijam acesso administrativo total às notificações e regras de notificação em toda a sua AWS conta.

nota

Essa política contém a permissão CreateNotificationRule. Qualquer usuário com essa política aplicada a seu IAM usuário ou função poderá criar regras de notificação para todo e qualquer tipo de recurso suportado pelas AWS CodeStar Notificações na AWS conta, mesmo que esse usuário não tenha acesso a esses recursos por si só. Por exemplo, um usuário com essa política pode criar uma regra de notificação para um CodeCommit repositório sem ter permissões para acessar a CodeCommit si mesmo.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "AWSCodeStarNotificationsFullAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe",
            "codestar-notifications:DeleteTarget",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:TagResource",
            "codestar-notifications:UntagResource"
        ],
        "Resource": "*"
     }
   ]
}

Exemplo: uma política em nível de colaborador para o uso de notificações AWS CodeStar

Neste exemplo, você deseja conceder acesso ao day-to-day uso de AWS CodeStar notificações, como criar e assinar notificações, mas não a ações mais destrutivas, como excluir regras ou alvos de notificação. Isso equivale ao acesso fornecido nas políticas AWSCodeCommitPowerUsergerenciadas AWSCodeBuildDeveloperAccessAWSCodeDeployDeveloperAccess, e.

nota

Essa política contém a permissão CreateNotificationRule. Qualquer usuário com essa política aplicada a seu IAM usuário ou função poderá criar regras de notificação para todo e qualquer tipo de recurso suportado pelas AWS CodeStar Notificações na AWS conta, mesmo que esse usuário não tenha acesso a esses recursos por si só. Por exemplo, um usuário com essa política pode criar uma regra de notificação para um CodeCommit repositório sem ter permissões para acessar a CodeCommit si mesmo.

{
    "Version": "2012-10-17",
    "Sid": "AWSCodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource"
        ],
        "Resource": "*"
        }
    ]
}

Exemplo: uma read-only-level política para o uso de AWS CodeStar notificações

Neste exemplo, você deseja conceder a um IAM usuário em sua conta acesso somente de leitura às regras de notificação, metas e tipos de eventos em sua AWS conta. Este exemplo mostra como você pode criar uma política que permite visualizar esses itens. Isso equivale às permissões incluídas como parte das políticas ReadOnlyAccess gerenciadas AWSCodeBuildReadOnlyAccessAWSCodeCommitReadOnly,, e AWSCodePipeline_.

{
    "Version": "2012-10-17",
    "Id": "CodeNotification__ReadOnly",
    "Statement": [
        {
            "Sid": "Reads_API_Access",
            "Effect": "Allow",
            "Action": [
                "CodeNotification:DescribeNotificationRule",
                "CodeNotification:ListNotificationRules",
                "CodeNotification:ListTargets",
                "CodeNotification:ListEventTypes"
            ],
            "Resource": "*"
        }
    ]
}