AWS 受管理的政策 AWS CodePipeline - AWS CodePipeline
AWSCodePipeline_FullAccessAWSCodePipeline_ReadOnlyAccessAWSCodePipelineApproverAccessAWSCodePipelineCustomActionAccessCodePipeline 受管理的策略和通知政策更新

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS 受管理的政策 AWS CodePipeline

受 AWS 管理的策略是由建立和管理的獨立策略 AWS。 AWS 受管理的策略旨在為許多常見使用案例提供權限，以便您可以開始將權限指派給使用者、群組和角色。

請記住， AWS 受管理的政策可能不會為您的特定使用案例授與最低權限權限，因為這些權限可供所有 AWS 客戶使用。我們建議您定義使用案例專屬的客戶管理政策，以便進一步減少許可。

您無法變更受 AWS 管理策略中定義的權限。如果 AWS 更新 AWS 受管理原則中定義的權限，則此更新會影響附加原則的所有主體識別 (使用者、群組和角色)。 AWS 當新的啟動或新 AWS 服務 的 API 操作可用於現有服務時，最有可能更新 AWS 受管理策略。

如需詳細資訊，請參閱《IAM 使用者指南》中的 AWS 受管政策。

重要

AWS 受管政策AWSCodePipelineFullAccess並AWSCodePipelineReadOnlyAccess已被替換。使用AWSCodePipeline_FullAccess和AWSCodePipeline_ReadOnlyAccess策略。

AWS 受管理策略：AWSCodePipeline_FullAccess

這是授與完整存取權的政策 CodePipeline。若要在 IAM 主控台中檢視 JSON 政策文件，請參閱AWSCodePipeline_FullAccess。

許可詳細資訊

此政策包含以下許可。

  • codepipeline— 授予權限 CodePipeline。

  • chatbot— 授與允許主參與者管理中資源的 AWS Chatbot權限。

  • cloudformation— 授與權限以允許主體管理中 AWS CloudFormation的資源堆疊。

  • cloudtrail— 授與允許主參與者管理中 CloudTrail記錄資源的權限。

  • codebuild— 授與允許主參與者存取中 CodeBuild建構資源的權限。

  • codecommit— 授與允許主參與者存取中 CodeCommit來源資源的權限。

  • codedeploy— 授與權限以允許主參與者存取中 CodeDeploy的部署資源。

  • codestar-notifications— 授與權限以允許主參與者存取 AWS CodeStar 「通知」中的資源。

  • ec2— 授予許可以允許部署 CodeCatalyst 以管理 Amazon EC2 中的彈性負載平衡。

  • ecr— 授予許可以允許存取 Amazon ECR 中的資源。

  • elasticbeanstalk— 授與允許主體存取 Elastic Beanstalk 中資源的權限。

  • iam— 授予許可，以允許主體管理 IAM 中的角色和政策。

  • lambda— 授予權限以允許主體管理 Lambda 中的資源。

  • events— 授與權限以允許主參與者管理 CloudWatch 事件中的資源。

  • opsworks— 授與允許主參與者管理中資源的 AWS OpsWorks權限。

  • s3— 授予許可，以允許主體管理 Amazon S3 中的資源。

  • sns— 授予許可，以允許主體管理 Amazon SNS 中的通知資源。

  • states— 授與允許主體檢視中 AWS Step Functions狀態機器的權限。狀態機器由管理工作和狀態之間轉換的狀態集合所組成。

{
    "Statement": [
        {
            "Action": [
                "codepipeline:*",
                "cloudformation:DescribeStacks",
                "cloudformation:ListStacks",
                "cloudformation:ListChangeSets",
                "cloudtrail:DescribeTrails",
                "codebuild:BatchGetProjects",
                "codebuild:CreateProject",
                "codebuild:ListCuratedEnvironmentImages",
                "codebuild:ListProjects",
                "codecommit:ListBranches",
                "codecommit:GetReferences",
                "codecommit:ListRepositories",
                "codedeploy:BatchGetDeploymentGroups",
                "codedeploy:ListApplications",
                "codedeploy:ListDeploymentGroups",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecs:ListClusters",
                "ecs:ListServices",
                "elasticbeanstalk:DescribeApplications",
                "elasticbeanstalk:DescribeEnvironments",
                "iam:ListRoles",
                "iam:GetRole",
                "lambda:ListFunctions",
                "events:ListRules",
                "events:ListTargetsByRule",
                "events:DescribeRule",
                "opsworks:DescribeApps",
                "opsworks:DescribeLayers",
                "opsworks:DescribeStacks",
                "s3:ListAllMyBuckets",
                "sns:ListTopics",
                "codestar-notifications:ListNotificationRules",
                "codestar-notifications:ListTargets",
                "codestar-notifications:ListTagsforResource",
                "codestar-notifications:ListEventTypes",
                "states:ListStateMachines"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Sid": "CodePipelineAuthoringAccess"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketPolicy",
                "s3:GetBucketVersioning",
                "s3:GetObjectVersion",
                "s3:CreateBucket",
                "s3:PutBucketPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3::*:codepipeline-*",
            "Sid": "CodePipelineArtifactsReadWriteAccess"
        },
        {
            "Action": [
                "cloudtrail:PutEventSelectors",
                "cloudtrail:CreateTrail",
                "cloudtrail:GetEventSelectors",
                "cloudtrail:StartLogging"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:cloudtrail:*:*:trail/codepipeline-source-trail",
            "Sid": "CodePipelineSourceTrailReadWriteAccess"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::*:role/service-role/cwe-role-*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "events.amazonaws.com"
                    ]
                }
            },
            "Sid": "EventsIAMPassRole"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "codepipeline.amazonaws.com"
                    ]
                }
            },
            "Sid": "CodePipelineIAMPassRole"
        },
        {
            "Action": [
                "events:PutRule",
                "events:PutTargets",
                "events:DeleteRule",
                "events:DisableRule",
                "events:RemoveTargets"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:events:*:*:rule/codepipeline-*"
            ],
            "Sid": "CodePipelineEventsReadWriteAccess"
        },
        {
            "Sid": "CodeStarNotificationsReadWriteAccess",
            "Effect": "Allow",
            "Action": [
                "codestar-notifications:CreateNotificationRule",
                "codestar-notifications:DescribeNotificationRule",
                "codestar-notifications:UpdateNotificationRule",
                "codestar-notifications:DeleteNotificationRule",
                "codestar-notifications:Subscribe",
                "codestar-notifications:Unsubscribe"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "codestar-notifications:NotificationsForResource": "arn:aws:codepipeline:*"
                }
            }
        },
        {
            "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:SetTopicAttributes"
            ],
            "Resource": "arn:aws:sns:*:*:codestar-notifications*"
        },
        {
            "Sid": "CodeStarNotificationsChatbotAccess",
            "Effect": "Allow",
            "Action": [
                "chatbot:DescribeSlackChannelConfigurations",
                "chatbot:ListMicrosoftTeamsChannelConfigurations"
            ],
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

AWS 受管理策略： AWSCodePipeline_ReadOnlyAccess

這是授與唯讀存取權的原則 CodePipeline。若要在 IAM 主控台中檢視 JSON 政策文件，請參閱AWSCodePipeline_ReadOnlyAccess。

許可詳細資訊

此政策包含以下許可。

  • codepipeline— 授與中動作的權限 CodePipeline。

  • codestar-notifications— 授與權限以允許主參與者存取 AWS CodeStar 「通知」中的資源。

  • s3— 授予許可，以允許主體管理 Amazon S3 中的資源。

  • sns— 授予許可，以允許主體管理 Amazon SNS 中的通知資源。

{
    "Statement": [
        {
            "Action": [
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineState",
                "codepipeline:GetPipelineExecution",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListActionExecutions",
                "codepipeline:ListActionTypes",
                "codepipeline:ListPipelines",
                "codepipeline:ListTagsForResource",
                "s3:ListAllMyBuckets",
                "codestar-notifications:ListNotificationRules",
                "codestar-notifications:ListEventTypes",
                "codestar-notifications:ListTargets"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketPolicy"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3::*:codepipeline-*"
        },
        {
            "Sid": "CodeStarNotificationsReadOnlyAccess",
            "Effect": "Allow",
            "Action": [
                "codestar-notifications:DescribeNotificationRule"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "codestar-notifications:NotificationsForResource": "arn:aws:codepipeline:*"
                }
            }
        }
    ],
    "Version": "2012-10-17"
}

AWS 受管理策略：AWSCodePipelineApproverAccess

這是授與核准或拒絕手動核准動作之權限的原則。若要在 IAM 主控台中檢視 JSON 政策文件，請參閱 AWSCodePipelineApproverAccess..

許可詳細資訊

此政策包含以下許可。

  • codepipeline— 授與中動作的權限 CodePipeline。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "codepipeline:GetPipeline",
                "codepipeline:GetPipelineState",
                "codepipeline:GetPipelineExecution",
                "codepipeline:ListPipelineExecutions",
                "codepipeline:ListPipelines",
                "codepipeline:PutApprovalResult"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS 受管理策略： AWSCodePipelineCustomActionAccess

這是一項政策，授予在建置或測試動作中建立自訂動作 CodePipeline或整合 Jenkins 資源的權限。若要在 IAM 主控台中檢視 JSON 政策文件，請參閱AWSCodePipelineCustomActionAccess。

許可詳細資訊

此政策包含以下許可。

  • codepipeline— 授與中動作的權限 CodePipeline。

{
    "Statement": [
        {
            "Action": [
                "codepipeline:AcknowledgeJob",
                "codepipeline:GetJobDetails",
                "codepipeline:PollForJobs",
                "codepipeline:PutJobFailureResult",
                "codepipeline:PutJobSuccessResult"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

CodePipeline 受管理的策略和通知

CodePipeline 支援通知，可通知使用者管道的重要變更。 CodePipeline 包含通知功能的政策聲明的受管理策略。如需詳細資訊，請參閱什麼是通知？。

完整存取受管政策中的通知相關許可

此受管理策略會授 CodePipeline 與相關服務 CodeCommit、 CodeBuild CodeDeploy、和 AWS CodeStar 通知的權限。該政策還授予您使用與管道整合的其他服務所需的許可，例如 Amazon S3、Elastic Beanstalk CloudTrail、Amazon EC2 和。 AWS CloudFormation套用此受管政策的使用者也可以針對通知建立和管理 Amazon SNS 主題、訂閱和取消訂閱使用者主題、列出要選擇作為通知規則目標的主題，以及列出針對 Slack 設定的用 AWS Chatbot 戶端。

AWSCodePipeline_FullAccess 受管政策包含下列陳述式，允許對通知的完整存取權限。

    {
        "Sid": "CodeStarNotificationsReadWriteAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:CreateNotificationRule",
            "codestar-notifications:DescribeNotificationRule",
            "codestar-notifications:UpdateNotificationRule",
            "codestar-notifications:DeleteNotificationRule",
            "codestar-notifications:Subscribe",
            "codestar-notifications:Unsubscribe"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListTargets",
            "codestar-notifications:ListTagsforResource",
            "codestar-notifications:ListEventTypes"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsSNSTopicCreateAccess",
        "Effect": "Allow",
        "Action": [
            "sns:CreateTopic",
            "sns:SetTopicAttributes"
        ],
        "Resource": "arn:aws:sns:*:*:codestar-notifications*"
    },
    {
        "Sid": "SNSTopicListAccess",
        "Effect": "Allow",
        "Action": [
            "sns:ListTopics"
        ],
        "Resource": "*"
    },
    {
        "Sid": "CodeStarNotificationsChatbotAccess",
        "Effect": "Allow",
        "Action": [
            "chatbot:DescribeSlackChannelConfigurations",
            "chatbot:ListMicrosoftTeamsChannelConfigurations"
          ],
       "Resource": "*"
    }

唯讀受管政策中的通知相關許可

AWSCodePipeline_ReadOnlyAccess 受管政策包含下列陳述式，允許對通知的唯讀存取權限。套用此政策的使用者可以檢視資源的通知，但無法建立、管理或訂閱通知。

   {
        "Sid": "CodeStarNotificationsPowerUserAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:DescribeNotificationRule"
        ],
        "Resource": "*",
        "Condition" : {
            "StringLike" : {"codestar-notifications:NotificationsForResource" : "arn:aws:codepipeline:us-west-2:111222333444:MyFirstPipeline"} 
        }
    },    
    {
        "Sid": "CodeStarNotificationsListAccess",
        "Effect": "Allow",
        "Action": [
            "codestar-notifications:ListNotificationRules",
            "codestar-notifications:ListEventTypes",
            "codestar-notifications:ListTargets"
        ],
        "Resource": "*"
    }

如需 IAM 和通知的詳細資訊，請參閱通知的 Identity and Access Management。AWS CodeStar

AWS CodePipelineAWS 受管理策略的更新

檢視 CodePipeline 自此服務開始追蹤這些變更以來的 AWS 受管理策略更新詳細資料。如需有關此頁面變更的自動警示，請訂閱「 CodePipeline 文件歷史記錄」頁面上的 RSS 摘要。

變更 描述 日期
AWSCodePipeline_FullAccess— 現有政策的更新 CodePipeline 已新增此原則的權限，以便ListStacks在中支援 AWS CloudFormation。 2024年3月15日
AWSCodePipeline_FullAccess— 現有政策的更新 此原則已更新為新增使用權限 AWS Chatbot。如需詳細資訊，請參閱 CodePipeline 受管理的策略和通知。 2023 年 6 月 21 日

AWSCodePipeline_FullAccess和AWSCodePipeline_ReadOnlyAccess受管理的策略 — 現有策略的更新

CodePipeline 已新增權限至這些原則，以支援使用 AWS Chatbot、的其他通知類型chatbot:ListMicrosoftTeamsChannelConfigurations。

 2023 年 5 月 16 日

AWSCodePipelineFullAccess— 已棄用

此政策已被 AWSCodePipeline_FullAccess 取代。

2022 年 11 月 17 日之後，此原則無法附加至任何新使用者、群組或角色。如需詳細資訊，請參閱 AWS 受管理的政策 AWS CodePipeline。

 2022 年 11 月 17 日

AWSCodePipelineReadOnlyAccess— 已棄用

此政策已被 AWSCodePipeline_ReadOnlyAccess 取代。

2022 年 11 月 17 日之後，此原則無法附加至任何新使用者、群組或角色。如需詳細資訊，請參閱 AWS 受管理的政策 AWS CodePipeline。

 2022 年 11 月 17 日

CodePipeline 開始追蹤變更

CodePipeline 開始追蹤其 AWS 受管理策略的變更。

 2021 年 3 月 12 日