amazon-s3 - 使用pull方法的跨账户codepipeline

Question

我正在尝试创建跨帐户代码管道，但没有适合此场景的文档。

1. AccountT - A 拥有带有 yaml 文件的 s3 存储桶
2. 账户 B 将拥有 Codepipeline

帐户 B codepipeline 应该将 S3 作为帐户 A 的源阶段的源，并在部署阶段将 cloudformation 部署方法作为源。有人可以帮助说明完成此任务需要满足哪些角色和其他需求吗？

Answer 1

要完成这项工作，您需要做两件事。

1. 您的存储桶需要使用客户 KMS key ，而不是默认 key 。这是因为您无法向其他帐户授予使用默认 key 的权限，这意味着其他帐户无法解密存储桶中的数据。您需要在 key 策略中授予权限，以允许其他帐户使用该 key 进行解密。理想情况下，不仅适用于整个帐户，还适用于 CodePipeline 源步骤中使用的角色。
2. 您必须在 S3 存储桶策略中向其他帐户授予访问权限。理想情况下，不仅适用于整个帐户，还适用于 CodePipeline 源步骤中使用的角色。

我有一个project 其中一些是使用组织来完成的。这并不完全是您想要的，因为我的项目中的 CodePipeline 位于“AccountT”中，而管道运行在“Account-B”中运行的 CloudFormation(或其他内容)。因此，在我的例子中，只有 CloudFormation 会返回“AccountT”中的存储桶。我认为修改它以按照您需要的方式工作并不应该是一个大的改变。我的项目很大程度上基于 this AWS article .