使用客戶受管金鑰加密建置輸出

如果您是 AWS CodeBuild 第一次遵循 中的步驟開始使用主控台來存取 ，則很可能不需要本主題中的資訊。不過，隨著您繼續使用 CodeBuild，您可能想要執行加密建置成品等動作。

為了 AWS CodeBuild 讓 加密其建置輸出成品，它需要存取 KMS 金鑰。根據預設，CodeBuild 會使用您 AWS 帳戶中 Amazon S3 AWS 受管金鑰 的 。

如果您不想使用 AWS 受管金鑰，您必須自行建立和設定客戶受管金鑰。本節說明如何使用 IAM 主控台執行此操作。

如需客戶受管金鑰的相關資訊，請參閱《 AWS KMS 開發人員指南》中的AWS Key Management Service 概念和建立金鑰。

若要設定客戶受管金鑰供 CodeBuild 使用，請遵循《 AWS KMS 開發人員指南》中修改金鑰政策》的「如何修改金鑰政策」一節中的指示。然後，將下列陳述式 (在 ### BEGIN ADDING STATEMENTS HERE ### 和 ### END ADDING STATEMENTS HERE ### 之間) 新增至金鑰政策。省略符號 (...) 是為了簡潔起見，也有助於您找到要新增陳述式的位置。請不要移除任何陳述式，也不要在金鑰政策中輸入這些省略符號。

JSON

{
  "Version": "2012-10-17",
  "Id": "...",
  "Statement": [
    ### BEGIN ADDING STATEMENTS HERE ###
    {
      "Sid": "Allow access through Amazon S3 for all principals in the account that are authorized to use Amazon S3",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "s3.region-ID.amazonaws.com",
          "kms:CallerAccount": "account-ID"
        }
      }
    },
    {
      "Effect": "Allow", 
      "Principal": {
        "AWS": "arn:aws:iam::account-ID:role/-service-role"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    ### END ADDING STATEMENTS HERE ###
    {
      "Sid": "Enable IAM User Permissions",
      ...
    },
    {
      "Sid": "Allow access for Key Administrators",
      ...
    },
    {
      "Sid": "Allow use of the key",
      ...
    },
    {
      "Sid": "Allow attachment of persistent resources",
      ...
    }
  ]
}

• region-ID 代表與 CodeBuild 相關聯之 Amazon S3 儲存貯體所在的 AWS 區域 ID （例如 us-east-1)。

• account-ID 代表擁有客戶受管金鑰之 AWS 帳戶的 ID。

• CodeBuild-service-role 代表您先前在本主題中建立或識別的 CodeBuild 服務角色名稱。

注意

若要透過 IAM 主控台建立或設定客戶受管金鑰，您必須先 AWS Management Console 使用下列其中一項登入 ：

• 您的 AWS 根帳戶。此為不建議的選項。如需詳細資訊，請參閱《 使用者指南》中的帳戶根使用者。

• 您 AWS 帳戶中的管理員使用者。如需詳細資訊，請參閱《 使用者指南》中的建立您的第一個 AWS 帳戶 根使用者和群組。

• 您 AWS 帳戶中具有建立或修改客戶受管金鑰許可的使用者。如需詳細資訊，請參閱《 AWS KMS 開發人員指南》中的使用 AWS KMS 主控台所需的許可。