本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS CodeDeploy 基于身份的策略示例

默认情况下，用户无权创建或修改 CodeDeploy资源。他们也无法使用 AWS 管理控制台 AWS CLI、或 AWS API 执行任务。您必须创建 IAM policy，授予 IAM 角色在其所需的指定资源上执行 API 操作的权限。然后，您必须将这些 IAM 角色附加到需要这些权限的用户或组。

要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略，请参阅《IAM 用户指南》中的在 JSON 选项卡上创建策略。

在中 CodeDeploy，基于身份的策略用于管理与部署过程相关的各种资源的权限。您可以控制对所有以下类型资源的访问：

由资源策略所控制的能力因资源类型而异，如下表所述：

下面的示例演示一个权限策略，该策略允许用户删除与 us-west-2 区域中名为 WordPress_DepGroup 的应用程序关联的名为 WordPress_App 的部署组。

JSON

{
  "Version":"2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:DeleteDeploymentGroup"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:111122223333:deploymentgroup:WordPress_App/WordPress_DepGroup"
      ]
    }
  ]
}

客户管理型策略示例

在本节中，您可以找到授予各种 CodeDeploy 操作权限的策略示例。这些政策在您使用 CodeDeploy API AWS SDKs、或时起作用 AWS CLI。您必须针对在控制台中执行的操作授予其他权限。要了解有关授予控制台权限的更多信息，请参阅使用控制 CodeDeploy 台。

示例

示例 1：允许在单个区域中执行 CodeDeploy 操作

以下示例仅授予us-west-2在该区域执行 CodeDeploy 操作的权限：

JSON

{
  "Version":"2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:*"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:111122223333:*"
      ]
    }
  ]
}

示例 2：允许为单个应用程序注册修订

以下示例授予为 us-west-2 区域中所有以 Test 开头的应用程序注册应用程序修订的权限：

JSON

{
  "Version":"2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:RegisterApplicationRevision"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:111122223333:application:Test*"
      ]
    }
  ]
}

示例 3：允许为单个部署组创建部署

以下示例允许为与名为 WordPress_App 的应用程序关联的名为 WordPress_DepGroup 的部署组、名为 ThreeQuartersHealthy 的自定义部署配置以及与名为 WordPress_App 的应用程序关联的任何应用程序修订创建部署。所有这些资源都位于 us-west-2 区域中。

JSON

{
  "Version":"2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:CreateDeployment"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:111122223333:deploymentgroup:WordPress_App/WordPress_DepGroup"
      ]
    },
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:GetDeploymentConfig"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:111122223333:deploymentconfig:ThreeQuartersHealthy"
      ]
    },
    {
      "Effect" : "Allow",
      "Action" : [
        "codedeploy:GetApplicationRevision"
      ],
      "Resource" : [
        "arn:aws:codedeploy:us-west-2:111122223333:application:WordPress_App"
      ]
    }
  ]
}

策略最佳实践

基于身份的策略决定了某人是否可以在您的账户中创建、访问或删除 CodeDeploy 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：

有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实践。

使用控制 CodeDeploy 台

如果您使用 CodeDeploy 控制台，则必须拥有一组允许您描述 AWS 账户其他 AWS 资源的最低权限。要 CodeDeploy 在 CodeDeploy 控制台中使用，您必须拥有以下服务的权限：

如果创建的 IAM policy 比最低权限要求更严格，那么对于具有该 IAM policy 角色的用户，控制台将无法正常运行。为确保这些用户仍然可以使用 CodeDeploy控制台，还要将AWSCodeDeployReadOnlyAccess托管策略附加到分配给该用户的角色，如中所述AWS 的托管（预定义）策略 CodeDeploy。

对于仅调用 AWS CLI 或 CodeDeploy API 的用户，您无需为其设置最低控制台权限。

允许用户查看他们自己的权限

该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}