AWS CodeBuildワーカーでIAMロールを使用する

Question

ビルドプロセスで使用するIAMインスタンスロールを付与する方法はありますか？

私の特別なケースでは、ビルド時にs3操作を実行する必要があります（アーカイブアーチファクトとは関係ありません）。

私が見つけた唯一の選択肢はawsキーとシークレットをaws codebuild設定ページの環境変数に追加することです。

ビルドを実行するec2インスタンスまたはコンテナにIAMロールを付加する方が安全です。それは現在（2016-12）可能ですか？

Answer 1

ビルドプロジェクト用に作成されたサービスロールに、追加のポリシーアクセス許可を追加できる必要があります。 CodeBuildはビルド時にそのポリシーを使用して、ビルドインスタンス内でアクションを実行します。あなたは、ビルド時にS3からオブジェクトを削除したい場合

たとえば、あなたがあなたのサービスの役割のポリシーに次のステートメントを追加する必要があります。

{ 
    "Effect": "Allow", 
    "Resource": [ 
     "*" 
    ], 
    "Action": [ 
     "s3:DeleteObject" 
    ] 
} 

注を：あなたはこれらを制限することを望むかもしれません上記の例では、アカウント内のすべてのものに対してDeleteObjectが許可されています。

CodeBuildコンソールで最初に実行されたウィザードを使用してプロジェクトをセットアップした場合は、s3：GetObjectおよびs3：GetObjectVersionのサービスロールにポリシーが既に存在しているはずです。コンソールを使用して作成する場合のサービスロール名は、デフォルトで 'codebuild- [プロジェクト名] -service-role'です。