AWS CodeStar 通知和 的身分和存取管理 AWS CodeConnections

AWS Identity and Access Management （IAM） 是一種 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員會控制誰可以進行身分驗證 （登入） 和授權 （具有許可），以使用 AWS CodeStar 通知 AWS CodeConnections 和資源。IAM 是 AWS 服務 您可以免費使用的 。

注意

可在新服務字首下建立的資源動作codeconnections可用。在新服務字首下建立資源將在資源 codeconnections中使用ARN。codestar-connections 服務字首的動作和資源仍然可用。在IAM政策中指定資源時，服務字首需要與資源的字首相符。

主題

• 物件
• 使用身分驗證
• 使用政策管理存取權
• 開發人員工具主控台中的功能如何使用 IAM
• AWS CodeConnections 許可參考
• 身分型政策範例
• 使用標籤控制對 AWS CodeConnections 資源的存取
• 在主控台中使用通知和連線
• 允許使用者檢視他們自己的許可
• 對 AWS CodeStar 通知和 AWS CodeConnections身分和存取權進行故障診斷
• 針 AWS CodeStar 對通知使用服務連結角色
• 使用 AWS CodeConnections的服務連結角色
• AWS 受管理的政策 AWS CodeConnections

物件

使用 AWS Identity and Access Management （IAM） 的方式會有所不同，取決於您在 AWS CodeStar 通知和 中所做的工作 AWS CodeConnections。

服務使用者 – 如果您使用 AWS CodeStar 通知 AWS CodeConnections 和服務來執行您的任務，則您的管理員會為您提供所需的憑證和許可。當您使用更多 AWS CodeStar 通知和 AWS CodeConnections 功能來執行工作時，您可能需要額外的許可。了解存取許可的管理方式可協助您向管理員請求正確的許可。如果您無法存取 AWS CodeStar 通知和 中的功能 AWS CodeConnections，請參閱 對 AWS CodeStar 通知和 AWS CodeConnections身分和存取權進行故障診斷。

服務管理員 – 如果您負責貴公司的 AWS CodeStar 通知 AWS CodeConnections 和資源，您可能擁有 AWS CodeStar 通知和 的完整存取權 AWS CodeConnections。您的任務是判斷您的服務使用者應存取哪些 AWS CodeStar 通知、 AWS CodeConnections 功能和資源。然後，您必須向IAM管理員提交請求，以變更服務使用者的許可。請檢閱此頁面上的資訊，以了解 的基本概念IAM。若要進一步了解貴公司如何IAM搭配 AWS CodeStar Notifications 和 使用 AWS CodeConnections，請參閱 開發人員工具主控台中的功能如何使用 IAM。

IAM 管理員 – 如果您是IAM管理員，您可能想要了解如何撰寫政策以管理 AWS CodeStar 通知 和 存取的詳細資訊 AWS CodeConnections。若要檢視您可以在 中使用的 AWS CodeStar 通知和 AWS CodeConnections 身分型政策範例IAM，請參閱 身分型政策範例。

使用身分驗證

驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者身分、IAM使用者身分或擔任IAM角色來驗證 （登入 AWS）。

您可以使用透過身分來源提供的憑證，以聯合身分 AWS 身分登入 。 AWS IAM Identity Center （IAM Identity Center） 使用者、您公司的單一登入身分驗證，以及您的 Google 或 Facebook 憑證，都是聯合身分的範例。當您以聯合身分登入時，您的管理員先前會使用 IAM角色設定身分聯合。當您 AWS 使用聯合存取 時，您會間接擔任 角色。

根據您身分的使用者類型，您可以登入 AWS Management Console 或 AWS 存取入口網站。如需登入 的詳細資訊 AWS，請參閱 使用者指南 中的如何登入 AWS 帳戶您的 。 AWS 登入

如果您以 AWS 程式設計方式存取 ， AWS 會提供軟體開發套件 （SDK） 和命令列介面 （CLI），以使用您的 憑證以密碼編譯方式簽署您的請求。如果您不使用 AWS 工具，則必須自行簽署請求。如需使用建議方法自行簽署請求的詳細資訊，請參閱 IAM 使用者指南 中的簽署 AWS API請求。

無論您使用何種身分驗證方法，您可能都需要提供額外的安全性資訊。例如， AWS 建議您使用多重要素身分驗證 （MFA） 來提高帳戶的安全性。若要進一步了解，請參閱AWS IAM Identity Center 使用者指南中的多重要素驗證，以及使用者指南中的使用多重要素驗證 （MFA） AWS。 IAM

AWS 帳戶根使用者

當您建立 時 AWS 帳戶，您會從一個登入身分開始，該身分可以完全存取 帳戶中的所有 AWS 服務 和資源。此身分稱為 AWS 帳戶 根使用者，透過您用來建立帳戶的電子郵件地址和密碼登入來存取。強烈建議您不要以根使用者處理日常任務。保護您的根使用者憑證，並將其用來執行只能由根使用者執行的任務。如需需要您以根使用者身分登入的任務完整清單，請參閱 IAM 使用者指南 中的需要根使用者憑證的任務。

IAM 使用者和群組

IAM 使用者是 中具有單一個人或應用程式特定許可 AWS 帳戶 的身分。如果可能，我們建議您依賴臨時憑證，而不是建立具有密碼和存取金鑰等長期憑證IAM的使用者。不過，如果您有特定的使用案例需要IAM使用者長期憑證，建議您輪換存取金鑰。如需詳細資訊，請參閱 IAM 使用者指南 中的針對需要長期憑證的使用案例定期輪換存取金鑰。

IAM 群組是指定IAM使用者集合的身分。您無法以群組身分簽署。您可以使用群組來一次為多名使用者指定許可。群組可讓管理大量使用者許可的程序變得更為容易。例如，您可以擁有名為 的群組IAMAdmins，並授予該群組管理IAM資源的許可。

使用者與角色不同。使用者只會與單一人員或應用程式建立關聯，但角色的目的是在由任何需要它的人員取得。使用者擁有永久的長期憑證，但角色僅提供暫時憑證。若要進一步了解，請參閱 IAM 使用者指南 中的何時建立IAM使用者 （而非角色）。

IAM 角色

IAM 角色是 中具有特定許可 AWS 帳戶 的身分。它類似於IAM使用者，但與特定人員無關。您可以透過 AWS Management Console 切換IAM角色 暫時在 中擔任角色。 https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html您可以透過呼叫 或 AWS API AWS CLI 操作，或使用自訂 來擔任角色URL。如需使用角色方法的詳細資訊，請參閱 IAM 使用者指南 中的使用IAM角色。

IAM 具有臨時憑證的角色在下列情況下很有用：

• 聯合身分使用者存取 — 如需向聯合身分指派許可，請建立角色，並為角色定義許可。當聯合身分進行身分驗證時，該身分會與角色建立關聯，並獲授予由角色定義的許可。如需聯合角色的相關資訊，請參閱 IAM 使用者指南 中的為第三方身分提供者建立角色。如果您使用 IAM Identity Center，您可以設定許可集。若要控制身分在身分驗證後可以存取的內容，IAMIdentity Center 會將許可集與 中的角色相關聯IAM。如需有關許可集的資訊，請參閱 AWS IAM Identity Center 使用者指南中的許可集。

• 臨時IAM使用者許可 – IAM使用者或角色可以擔任IAM角色，暫時接受特定任務的不同許可。

• 跨帳戶存取 – 您可以使用 IAM角色，允許不同帳戶中的某人 （受信任的主體） 存取您帳戶中的資源。角色是授予跨帳戶存取權的主要方式。不過，在某些 中 AWS 服務，您可以直接將政策連接至資源 （而不是使用角色作為代理）。若要了解跨帳戶存取的角色和資源型政策之間的差異，請參閱 IAM 使用者指南 中的跨帳戶資源存取IAM。

• 跨服務存取 – 有些 AWS 服務 使用其他 中的功能 AWS 服務。例如，當您在 服務中撥打電話時，該服務通常會在 Amazon 中執行應用程式EC2或在 Amazon S3 中儲存物件。服務可能會使用呼叫主體的許可、使用服務角色或使用服務連結角色來執行此作業。

  • 轉送存取工作階段 （FAS） – 當您使用IAM使用者或角色在 中執行動作時 AWS，您會被視為主體。使用某些服務時，您可能會執行某個動作，進而在不同服務中啟動另一個動作。FAS 使用呼叫 的委託人許可 AWS 服務，並結合 AWS 服務 請求向下游服務提出請求的 。FAS 只有在服務收到需要與其他 AWS 服務 或 資源互動才能完成的請求時，才會發出請求。在此情況下，您必須具有執行這兩個動作的許可。如需提出FAS請求的政策詳細資訊，請參閱轉送存取工作階段 。

  • 服務角色 – 服務角色是服務代表您執行動作時擔任IAM的角色。IAM 管理員可以從 內部建立、修改和刪除服務角色IAM。如需詳細資訊，請參閱 使用者指南 中的建立角色以將許可委派給 AWS 服務 。 IAM

  • 服務連結角色 – 服務連結角色是連結至 的服務角色類型 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會顯示在您的 中 AWS 帳戶 ，並由 服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。

• 在 Amazon 上執行的應用程式 EC2 – 您可以使用 IAM角色來管理在EC2執行個體上執行的應用程式的臨時憑證，以及提出 AWS CLI 或 AWS API請求。最好將存取金鑰儲存在EC2執行個體中。若要將 AWS 角色指派給EC2執行個體並將其提供給其所有應用程式，您可以建立連接至執行個體的執行個體設定檔。執行個體設定檔包含 角色，並啟用在EC2執行個體上執行的程式，以取得臨時憑證。如需詳細資訊，請參閱 IAM 使用者指南 中的使用 IAM角色將許可授予在 Amazon EC2執行個體上執行的應用程式。

若要了解如何使用IAM角色或IAM使用者，請參閱 IAM 使用者指南 中的建立IAM角色 （而非使用者） 的時機。

使用政策管理存取權

您可以透過建立政策並將其連接到 AWS 身分或資源 AWS 來控制 中的存取。政策是 AWS 其中的物件，當與身分或資源建立關聯時， 會定義其許可。當主體 （使用者、根使用者或角色工作階段） 發出請求時， 會 AWS 評估這些政策。政策中的許可決定是否允許或拒絕請求。大多數政策都以JSON文件 AWS 形式儲存在 中。如需JSON政策文件結構和內容的詳細資訊，請參閱 IAM 使用者指南 中的JSON政策概觀。

管理員可以使用 AWS JSON政策來指定誰可以存取內容。也就是說，哪個主體在什麼條件下可以對什麼資源執行哪些動作。

預設情況下，使用者和角色沒有許可。若要授予使用者對所需資源執行動作的許可，IAM管理員可以建立IAM政策。然後，管理員可以將IAM政策新增至角色，使用者可以擔任角色。

IAM 無論您用來執行操作的方法為何，政策都會定義動作的許可。例如，假設您有一個允許 iam:GetRole 動作的政策。具有該政策的使用者可以從 AWS Management Console、 AWS CLI或 AWS 取得角色資訊API。

身分型政策

身分型政策是您可以連接到身分的JSON許可政策文件，例如IAM使用者、使用者群組或角色。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。若要了解如何建立身分型政策，請參閱 IAM 使用者指南 中的建立IAM政策。

身分型政策可進一步分類成內嵌政策或受管政策。內嵌政策會直接內嵌到單一使用者、群組或角色。受管政策是獨立的政策，您可以連接到 中的多個使用者、群組和角色 AWS 帳戶。受管政策包括 AWS 受管政策和客戶受管政策。若要了解如何在受管政策或內嵌政策之間進行選擇，請參閱 IAM 使用者指南 中的在受管政策與內嵌政策之間進行選擇。

AWS CodeConnections 許可參考

下表列出每項 AWS CodeConnections API操作、您可以授予許可的對應動作，以及ARN用於授予許可的資源格式。根據 AWS CodeConnections APIs該 所允許動作的範圍，將 分組為資料表API。撰寫您可以連接到IAM身分 （身分型政策） 的許可政策時，請參閱該政策。

當您建立許可政策時，您需要在政策的 Action 欄位中指定動作。您可以將政策Resource欄位中的資源值指定為 ARN，包含或不包含萬用字元 （*）。

若要在連線政策中表達條件，請使用此處所述和 條件索引鍵 中列出的條件索引鍵。您也可以使用 AWS全局條件金鑰。如需 AWS全局金鑰的完整清單，請參閱 IAM 使用者指南 中的可用金鑰。

若要指定動作，請使用字codeconnections首，後面加上API操作名稱 （例如， codeconnections:ListConnections或 codeconnections:CreateConnection。

使用萬用字元

若要指定多個動作或資源，請在 中使用萬用字元 （*）ARN。例如，codeconnections:*指定所有 AWS CodeConnections 動作，並codeconnections:Get*指定以字詞 開頭的所有 AWS CodeConnections 動作Get。以下範例授予對所有以 MyConnection 為名稱開頭之資源的存取權。

arn:aws:codeconnections:us-west-2:account-ID:connection/*

您只能搭配 使用萬用字元 connection 下表中列出的資源。您無法搭配 使用萬用字元 region 或 account-id 的費用。如需萬用字元的詳細資訊，請參閱 IAM 使用者指南 中的IAM識別碼。

管理連線的許可

指定使用 或 AWS CLI SDK來檢視、建立或刪除連線的角色或使用者，其許可應限制如下。

注意

只具有下列許可，並無法在主控台中完成或使用連線。您需要在 完成連線的許可 中新增許可。

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 管理連線所需的許可
AWS CodeConnections 動作	所需的許可	資源
CreateConnection	codeconnections:CreateConnection 需要使用 CLI或 主控台來建立連線。	arn：aws：codeconnections：region:account-id：連線/connection-id
DeleteConnection	codeconnections:DeleteConnection 需要使用 CLI或 主控台來刪除連線。	arn：aws：codeconnections：region:account-id：連線/connection-id
GetConnection	codeconnections:GetConnection 需要使用 CLI或 主控台來檢視連線的詳細資訊。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListConnections	codeconnections:ListConnections 需要使用 CLI或 主控台來列出帳戶中的所有連線。	arn：aws：codeconnections：region:account-id：連線/connection-id

這些操作支援下列條件金鑰：

動作	條件索引鍵
codeconnections:CreateConnection	codeconnections:ProviderType
codeconnections:DeleteConnection	N/A
codeconnections:GetConnection	N/A
codeconnections:ListConnections	codeconnections:ProviderTypeFilter

管理主機的許可

指定使用 或 AWS CLI SDK來檢視、建立或刪除主機的角色或使用者，應具有僅限下列的許可。

注意

只具有下列許可，並無法在主機中完成或使用主機。您需要在 設定主機的許可 中新增許可。

codeconnections:CreateHost
codeconnections:DeleteHost
codeconnections:GetHost
codeconnections:ListHosts

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 管理主機所需的許可
AWS CodeConnections 動作	所需的許可	資源
CreateHost	codeconnections:CreateHost 需要使用 CLI或 主控台來建立主機。	arn：aws：codeconnections：region:account-id：主機/host-id
DeleteHost	codeconnections:DeleteHost 需要使用 CLI或 主控台來刪除主機。	Codeconnections：region:account-id：主機/host-id
GetHost	codeconnections:GetHost 需要使用 CLI或 主控台來檢視主機的詳細資訊。	arn：aws：codeconnections：region:account-id：主機/host-id
ListHosts	codeconnections:ListHosts 需要使用 CLI或 主控台來列出帳戶中的所有主機。	arn：aws：codeconnections：region:account-id：主機/host-id

這些操作支援下列條件金鑰：

動作	條件索引鍵
codeconnections:CreateHost	codeconnections:ProviderType
codeconnections:DeleteHost	N/A
codeconnections:GetHost	N/A
codeconnections:ListHosts	codeconnections:ProviderTypeFilter

完成連線的許可

指定要管理在主控台中連線的角色或使用者，應具備完成主控台中的連線及建立安裝所需的許可，包括授權供應商進行交握，以及建立供連線使用的安裝。除了上述許可之外，也請使用下列許可。

執行瀏覽器型交握時，主控台會使用下列IAM操作。ListInstallationTargets、GetInstallationUrl、StartOAuthHandshake、 UpdateConnectionInstallation和 GetIndividualAccessToken是IAM政策許可。它們不是API動作。

codeconnections:GetIndividualAccessToken
codeconnections:GetInstallationUrl
codeconnections:ListInstallationTargets
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation

以此為基礎，需要下列許可才能在主控台中使用、建立、更新或刪除連線。

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections
codeconnections:UseConnection
codeconnections:ListInstallationTargets
codeconnections:GetInstallationUrl
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation
codeconnections:GetIndividualAccessToken

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 完成連線所需的許可
AWS CodeConnections 動作	所需的許可	資源
GetIndividualAccessToken	codeconnections:GetIndividualAccessToken 使用主控台完成連線時需要。這只是IAM政策許可，不是API動作。	arn：aws：codeconnections：region:account-id：連線/connection-id
GetInstallationUrl	codeconnections:GetInstallationUrl 使用主控台完成連線時需要。這只是IAM政策許可，不是API動作。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListInstallationTargets	codeconnections:ListInstallationTargets 使用主控台完成連線時需要。這只是IAM政策許可，不是API動作。	arn：aws：codeconnections：region:account-id：連線/connection-id
StartOAuthHandshake	codeconnections:StartOAuthHandshake 使用主控台完成連線時需要。這只是IAM政策許可，不是API動作。	arn：aws：codeconnections：region:account-id：連線/connection-id
UpdateConnectionInstallation	codeconnections:UpdateConnectionInstallation 使用主控台完成連線時需要。這只是IAM政策許可，不是API動作。	arn：aws：codeconnections：region:account-id：連線/connection-id

這些作業支援下列條件索引鍵。

動作	條件索引鍵
codeconnections:GetIndividualAccessToken	codeconnections:ProviderType
codeconnections:GetInstallationUrl	codeconnections:ProviderType
codeconnections:ListInstallationTargets	N/A
codeconnections:StartOAuthHandshake	codeconnections:ProviderType
codeconnections:UpdateConnectionInstallation	codeconnections:InstallationId

設定主機的許可

指定管理在主控台中連線的角色或使用者，應具備在主控台中設定主機所需的許可，包括授權供應商進行交握，以及安裝主機應用程式。除了上述主機許可之外，也請使用下列許可。

主控台在執行瀏覽器型主機註冊時會使用下列IAM操作。 RegisterAppCode和 StartAppRegistrationHandshake是IAM政策許可。它們不是API動作。

codeconnections:RegisterAppCode
codeconnections:StartAppRegistrationHandshake

以此為基礎，需要下列許可才能在主控台中使用、建立、更新或刪除需要主機的連線 (例如已安裝的供應商類型)。

codeconnections:CreateConnection
codeconnections:DeleteConnection
codeconnections:GetConnection
codeconnections:ListConnections
codeconnections:UseConnection
codeconnections:ListInstallationTargets
codeconnections:GetInstallationUrl
codeconnections:StartOAuthHandshake
codeconnections:UpdateConnectionInstallation
codeconnections:GetIndividualAccessToken
codeconnections:RegisterAppCode
codeconnections:StartAppRegistrationHandshake

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 完成主機設定所需的許可
連線動作	所需的許可	資源
RegisterAppCode	codeconnections:RegisterAppCode 使用主控台來完成主機設定時需要。這只是IAM政策許可，不是API動作。	arn：aws：codeconnections：region:account-id：主機/host-id
StartAppRegistrationHandshake	codeconnections:StartAppRegistrationHandshake 使用主控台來完成主機設定時需要。這只是IAM政策許可，不是API動作。	arn：aws：codeconnections：region:account-id：主機/host-id

這些作業支援下列條件索引鍵。

將連線傳遞至服務

當連線傳遞至服務時 （例如，在管道定義ARN中提供連線以建立或更新管道時），使用者必須擁有 codeconnections:PassConnection 許可。

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 傳遞連線所需的許可
AWS CodeConnections 動作	所需的許可	資源
PassConnection	codeconnections:PassConnection 將連線傳遞到服務時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id

此操作也支援下列條件金鑰：

• codeconnections:PassedToService

支援的條件金鑰值
金錀	有效動作供應商
codeconnections:PassedToService	codeguru-reviewer codepipeline.amazonaws.com proton.amazonaws.com

使用連線

當類似 的服務 CodePipeline 使用連線時，服務角色必須具有指定連線的codeconnections:UseConnection許可。

若要在主控台中管理連線，使用者政策必須具有 codeconnections:UseConnection 許可。

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 使用連線所需的動作
AWS CodeConnections 動作	所需的許可	資源
UseConnection	codeconnections:UseConnection 使用連線時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id

此操作也支援下列條件金鑰：

• codeconnections:BranchName

• codeconnections:FullRepositoryId

• codeconnections:OwnerId

• codeconnections:ProviderAction

• codeconnections:ProviderPermissionsRequired

• codeconnections:RepositoryName

支援的條件金鑰值
金錀	有效動作供應商
codeconnections:FullRepositoryId	儲存庫的使用者名稱和儲存庫名稱，例如 my-owner/my-repository。僅當使用連線來存取特定儲存庫時才支援。
codeconnections:ProviderPermissionsRequired	read_only 或 read_write
codeconnections:ProviderAction	GetBranch, ListRepositories, ListOwners, ListBranches, StartUploadArchiveToS3, GitPush, GitPull, GetUploadArchiveToS3Status, CreatePullRequestDiffComment, GetPullRequest, ListBranchCommits, ListCommitFiles, ListPullRequestComments, ListPullRequestCommits. 如需相關資訊，請參閱下一節。

某些功能的必要條件金鑰可能隨著時間而變更。除非您的存取控制需求需要不同的許可，否則建議您使用 codeconnections:UseConnection 來控制對連線的存取。

支援的 ProviderAction 存取權類型

AWS 服務使用連線時，會導致API呼叫原始碼提供者。例如，服務可能會呼叫 來列出 Bitbucket https://api.bitbucket.org/2.0/repositories/username 連線的儲存庫API。

ProviderAction 條件索引鍵可讓您限制可在提供者APIs上呼叫哪個 。由於API路徑可能會動態產生，且路徑因提供者而異，因此ProviderAction值會映射到抽象動作名稱，而不是 URL的 API。不論連線的供應商類型為何，這可讓您撰寫具有相同效果的政策。

以下是針對每個支援的 ProviderAction 值授予的存取類型。以下是IAM政策許可。它們不是API動作。

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 支援的存取類型 ProviderAction
AWS CodeConnections 許可	所需的許可	資源
GetBranch	codeconnections:GetBranch 存取分支的相關資訊 (例如該分支的最新遞交) 時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListRepositories	codeconnections:ListRepositories 存取屬於擁有者的公有和私有儲存庫清單 (包括這些儲存庫的詳細資訊) 時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListOwners	codeconnections:ListOwners 存取連線可存取的擁有者清單時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListBranches	codeconnections:ListBranches 存取特定儲存庫上存在的分支清單時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
StartUploadArchiveToS3	codeconnections:StartUploadArchiveToS3 讀取原始碼並上傳至 Amazon S3 時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
GitPush	codeconnections:GitPush 使用 Git 寫入儲存庫時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
GitPull	codeconnections:GitPull 使用 Git 讀取儲存庫時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
GetUploadArchiveToS3Status	codeconnections:GetUploadArchiveToS3Status 存取由 StartUploadArchiveToS3 起始的上傳狀態 (包括任何錯誤訊息) 時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
CreatePullRequestDiffComment	codeconnections:CreatePullRequestDiffComment 存取提取請求上的註解時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
GetPullRequest	codeconnections:GetPullRequest 檢視儲存庫的提取請求時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListBranchCommits	codeconnections:ListBranchCommits 儲存庫分支的遞交清單時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListCommitFiles	codeconnections:ListCommitFiles 檢視遞交的檔案清單時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListPullRequestComments	codeconnections:ListPullRequestComments 檢視提取請求的註解清單時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id
ListPullRequestCommits	codeconnections:ListPullRequestCommits 檢視提取請求的遞交清單時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id

標記連線資源的支援許可

標記連線資源時，會使用下列IAM操作。

codeconnections:ListTagsForResource
codeconnections:TagResource
codeconnections:UntagResource

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 標記連線資源所需的動作
AWS CodeConnections 動作	所需的許可	資源
ListTagsForResource	codeconnections:ListTagsForResource 檢視與連線資源關聯之標籤清單時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id , arn：aws：codeconnections：region:account-id：主機/host-id
TagResource	codeconnections:TagResource 標記連線資源時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id , arn：aws：codeconnections：region:account-id：主機/host-id
UntagResource	codeconnections:UntagResource 從連線資源中移除標籤時需要。	arn：aws：codeconnections：region:account-id：連線/connection-id , arn：aws：codeconnections：region:account-id：主機/host-id

將連線傳遞到儲存庫連結

在同步組態中提供儲存庫連結時，使用者必須具有儲存庫連結ARN/資源的codeconnections:PassRepository許可。

使用捲軸查看資料表的其餘部分。

AWS CodeConnections 傳遞連線所需的許可
AWS CodeConnections 動作	所需的許可	資源
PassRepository	codeconnections:PassRepository 需要將儲存庫連結傳遞至同步組態。	arn：aws：codeconnections：region:account-id：儲存庫連結/repository-link-id

此操作也支援下列條件金鑰：

• codeconnections:PassedToService

支援的條件金鑰值
金錀	有效動作供應商
codeconnections:PassedToService	cloudformation.sync.codeconnections.amazonaws.com

儲存庫連結的可支援條件金鑰

下列條件金鑰支援儲存庫連結和同步組態資源的操作：

• codeconnections:Branch

  透過請求中傳遞的分支名稱來篩選存取。

條件金鑰的可支援動作
金錀	有效值
codeconnections:Branch	此條件金鑰支援下列動作： CreateSyncConfiguration UpdateSyncConfiguration GetRepositorySyncStatus

在主控台中使用通知和連線

通知體驗內建於 CodeBuild、 CodeCommit CodeDeploy、 和 CodePipeline 主控台，以及設定導覽列本身的開發人員工具主控台。若要存取主控台中的通知，您必須套用這些服務相關的其中一個受管政策，或者您必須擁有至少一組許可。這些許可必須允許您列出和檢視 AWS 帳戶中 AWS CodeStar 通知 AWS CodeConnections 和資源的詳細資訊。如果您建立的身分型政策比最低必要許可更嚴格，則主控台將無法與該政策針對實體 （IAM使用者或角色） 正常運作。如需授予 AWS CodeBuild、 AWS CodeCommit AWS CodeDeploy和 存取權的詳細資訊 AWS CodePipeline，包括這些主控台的存取權，請參閱下列主題：

• CodeBuild：針對 使用身分型政策 CodeBuild

• CodeCommit：針對 使用身分型政策 CodeCommit

• AWS CodeDeploy： 的身分和存取管理 AWS CodeDeploy

• CodePipeline：具有IAM政策的存取控制

AWS CodeStar 通知沒有任何 AWS 受管政策。若要提供通知功能的存取權，您必須針對上述其中一項服務套用其中一項受管政策，或者，您必須建立具有您要授予使用者或實體之許可層級的政策，然後將這些政策連接到需要這些許可的使用者、群組或角色。如需更多資訊和範例，請參閱下列內容：

• 範例：管理 AWS CodeStar 通知的管理員層級政策

• 範例：使用 AWS CodeStar Notifications 的貢獻者層級政策

• 範例：使用 AWS CodeStar 通知 read-only-level 的政策.

AWS CodeConnections 沒有任何 AWS 受管政策。您可以針對存取權使用許可和許可組合，如 完成連線的許可 中詳述的許可權限。

如需詳細資訊，請參閱下列內容：

• 範例：管理 的管理員層級政策 AWS CodeConnections

• 範例：使用 的貢獻者層級政策 AWS CodeConnections

• 範例：使用 read-only-level 的政策 AWS CodeConnections

對於僅對 AWS CLI 或 進行呼叫的使用者，您不需要允許主控台許可 AWS API。相反地，僅允許存取與您嘗試執行API的操作相符的動作。

允許使用者檢視他們自己的許可

此範例示範如何建立政策，允許使用者IAM檢視連接至其使用者身分的內嵌和受管政策。此政策包含在主控台上完成此動作或使用 或 AWS CLI 以程式設計方式完成此動作的許可 AWS API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}