amazon-web-services - 在 AWS CodeBuild 工作线程上使用 IAM 角色

Question

有没有办法授予 IAM 实例角色以供构建过程使用？

在我的特殊情况下，我需要在构建期间执行一些 s3 操作(与归档工件无关)。

到目前为止，我发现的唯一替代方法是在 aws 代码构建配置页面上的环境变量中添加一个 aws key 和 secret 。

将 IAM 角色附加到执行构建的 ec2 实例或容器会更安全。目前(2016-12)可能吗？

Answer 1

您应该能够将任何其他策略权限附加到为您的构建项目创建的服务角色。 CodeBuild 在构建期间使用该策略在构建实例中执行操作。

例如，如果您想在构建期间从 S3 中删除一个对象，您需要将以下语句添加到您的服务角色策略中:

{
    "Effect": "Allow",
    "Resource": [
        "*"
    ],
    "Action": [
        "s3:DeleteObject"
    ]
}

备注 :您可能希望将这些权限限制为特定资源，上面的示例允许对您帐户中的任何内容进行 DeleteObject。

如果您使用 CodeBuild 控制台上的首次运行向导来设置您的项目，则您的服务角色中应该已经有 s3:GetObject 和 s3:GetObjectVersion 的策略。通过控制台创建时的服务角色名称默认为“codebuild-[项目名称]-service-role”。