クロスアカウントの CodeCommit リポジトリで CodePipeline のソースステージをどのように構成すればよいですか？

所要時間4分

AWS CodePipeline のソースステージを、クロスアカウントの AWS CodeCommit リポジトリで構成したいと考えています。

解決策

**注:**CodeCommit は新規顧客には提供されていません。既存の CodeCommit ユーザーは引き続きサービスを利用できます。詳細については、「AWS CodeCommit リポジトリを他の Git プロバイダーに移行する方法」を参照してください。

以下の解決策では、CodeCommit リポジトリにアカウント A を使用し、CodePipelineにアカウントB を使用します。

アカウント A に CodeCommit リポジトリを作成します。

アカウント A に CodeCommit リポジトリを作成するには、「AWS CodeCommit リポジトリを作成する」を参照してください。

アカウント A でクロスアカウントロールを設定します

次の手順を実行します。

アカウント A で AWS Identity and Access Management (IAM) コンソールを開きます。
ナビゲーションペインで、[ロール] を選択します。
[新しいロールを作成] を選択し、次の手順を実行します。
[AWSアカウント] を **[信頼されたエンティティタイプ]**として選択します。
[別の AWS アカウント] を選択し、アカウント B の ID を入力します。
IAM ロールの名前を入力します (例: cross-account-access-role)。

次の信頼ポリシーを使用して IAM ロールを作成します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::example-account-b:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

**注:**example-account-b をアカウント B の ID に置き換えます。

アカウント B のコードパイプラインで使用する AWS KMS キーを作成する

**注:**クロスアカウントデプロイには、AWS Key Management Service (AWS KMS) のカスタマー管理キーを使用する必要があります。キーを設定しない場合、CodePipelineはデフォルトの暗号化を使用してオブジェクトを暗号化し、宛先アカウントのロールがそれらのオブジェクトを復号できなくなります。

次の手順を実行します。

アカウント B で AWS KMS コンソールを開きます。
ナビゲーションペインで **[カスタマーマネージドキー]**を選択し、以下の手順を完了します。
[キータイプ] で [対称] を選択します。
[キーの使用] で [暗号化と復号化] を選択します。
[詳細オプション] を展開し、次の手順を実行します。
[キーマテリアルオリジン] で [KMS] を選択します。
[エイリアス] には、キーのエイリアスを入力します (例: cmk-key)。
[キー管理者] には、キー管理者権限を付与する IAM エンティティを選択します。
[他の AWS アカウント] セクションで、[別の AWS アカウントを追加] を選択します。
アカウント A の ID を入力します。
[完了] を選択します。

アカウント B でコードパイプラインを作成する

次の手順を実行します。

CodePipeline コンソールを開きます。
[パイプラインの作成] を選択し、パイプラインに名前を付けます (例: account\_B\_pipeline)。
注:****[ロール名] のテキストボックスには、AWSCodePipelineServiceRole-ap-southeast-2-account\_B\_pipeline というサービスロール名が自動的に入力されます。既存の AWS KMS キーにアクセスできるサービスロールを選択することも可能です。
[詳細設定] を展開し、以下の手順を完了します。
[アーティファクトストア] には、[デフォルトの場所] を選択します。必要に応じて、[カスタムロケーション] を選択することもできます。
[暗号化キー] には、[カスタマーマネージドキー] を選択し、ドロップダウンリストから cmk-key を選択します。
[ソースプロバイダー] には、[CodeCommit] を選択します。
[リポジトリ名] には、リポジトリ名を入力します (例: account-a-repository)。ブランチ名には main を指定します。
[ビルドステージを追加する] ページで、[ビルドステージをスキップ] を選択し、[スキップ] を選択します。
[デプロイステージを追加する] ページで、**[デプロイプロバイダー]**にはサービスを選択します。
[次へ] を選択してパイプラインを作成します。

**注:**パイプライン作成後に次のエラーメッセージが表示された場合は、この解決策の「クロスアカウントロールを使用するようにパイプラインを更新する」セクションを参照してください。

エラーメッセージ:

「The action failed because no AWS CodeCommit repository named account-a-repository was found.Make sure you are using the correct repository name, and then try again.Error: account-a-repository」

アカウント B の AWS KMS 使用ポリシーを更新する

次の手順を実行します。

アカウント B で AWS KMS コンソールを開きます。
ナビゲーションペインで、[カスタマー管理キー] を選択します。
テーブルで、キーのエイリアス (cmk-key など) を選択します。
[キーユーザー] セクションで、[追加] を選択します。
パイプラインサービスロールを入力します (例: AWSCodePipelineServiceRole-ap-southeast-2-account\_B\_pipeline)。

パイプラインサービスロールを AWS KMS キーのポリシーに追加します。以下はキーポリシーの例です。

{
    "Id": "key-consolepolicy-3",
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "Enable IAM User Permissions",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::example-account-b:root"
        },
        "Action": "kms:*",
        "Resource": "*"
    }, {
        "Sid": "Allow use of the key",
        "Effect": "Allow",
        "Principal": {
            "AWS": ["arn:aws:iam::example-account-b:role/example-service-role/AWSCodePipelineServiceRole-ap-southeast-2-account_B_pipeline", "arn:aws:iam::<Account_A>:root"]
        },
        "Action": ["kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey"],
        "Resource": "*"
    }, {
        "Sid": "Allow attachment of persistent resources",
        "Effect": "Allow",
        "Principal": {
            "AWS": ["arn:aws:iam::example-account-b>:role/example-service-role/AWSCodePipelineServiceRole-ap-southeast-2-Account_B_pipeline", "arn:aws:iam::example-account-a:root"]
        },
        "Action": ["kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant"],
        "Resource": "*",
        "Condition": {
            "Bool": {
                "kms:GrantIsForAWSResource": "true"
            }
        }
    }]
}

アカウント B でロール引受ポリシーを設定します。

次の手順を実行します。

アカウント B で IAM コンソールを開きます。
ナビゲーションペインで [ロール] を選択し、パイプラインロールを選択します。

アカウント A のロールを引き受けるパイプラインロールに、次のポリシーを追加します。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": [
            "arn:aws:iam::example-account-a:example-pipeline-role/*"
        ]
    }
}

注: example-account-A をアカウントAに、example-pipeline-role をパイプラインロールに置き換えてください。

アカウント B の CodePipeline アーティファクトバケットのバケットポリシーを更新します。

次の手順を実行します。

アカウント B で Amazon Simple Storage Service (Amazon S3) コンソールを開きます。
ナビゲーションペインでバケットを選択し、パイプラインバケットを選択します。
[権限] を選択し、次に [バケットポリシー] を選択します。

テキストエディタで、次のポリシーステートメントを含むようにポリシーを更新します。

{
    "Version": "2012-10-17",
    "Id": "example-policy-id",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": ["arn:aws:iam::example-account-a-id:root", "arn:aws:iam::example-account-b-id:root"]
            },
            "Action": [
                "s3:Get*",
                "s3:Put*"
            ],
            "Resource": "arn:aws:s3:::example-pipeline-bucket/*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": ["arn:aws:iam::example-account-a-id:root", "arn:aws:iam::example-account-b-id:root"]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::example-pipeline-bucket"
        }
    ]
}

**注:**JSON 形式に正しく合わせるため、既存のステートメントの後にカンマを追加してください。example-policy-id をポリシー ID に、example-account-a-id をアカウント A の ID に、example-account-b-id をアカウント B の ID に、example-pipeline-bucket をパイプラインバケット名に置き換えてください。

アカウント A に対して、アカウント B の AWS KMS キーを使用する権限を付与するインライン IAM ポリシーを作成します。

次の手順を実行します。

アカウント A で IAM コンソールを開きます。
ナビゲーションペインで [ロール] を選択し、[cross-account-access-role] を選択します。
[インラインポリシーを作成] を選択します。

JSON タブで、次のポリシーを入力します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:DescribeKey",
        "kms:GenerateDataKey*",
        "kms:Encrypt",
        "kms:ReEncrypt*",
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:ap-southeast-2:example-account-b-id:key/example-key-id"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:Put*"
      ],
      "Resource": [
        "arn:aws:s3:::example-pipeline-artifact-bucket-arn/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::example-pipeline-artifact-bucket-arn"
      ]
    }
  ]
}

**注:**example-account-b-id をアカウント B の ID に、example-key-id を AWS KMS キーの ARN に、example-pipeline-artifact-bucket-arn をパイプラインアーティファクトバケットの ARN に置き換えてください。

[ポリシーを確認] を選択し、ポリシーを作成します。

パイプラインを更新してクロスアカウントロールを使用するように設定します

**注:**AWS コマンドラインインターフェイス (AWS CLI) コマンドの実行中にエラーが発生した場合は、「AWS CLI エラーのトラブルシューティング」を参照してください。また、使用している AWS CLI が最新バージョンであることを確認してください。

次の手順を実行します。

codepipeline.json という名前のファイルからパイプライン定義を取得するには、get-pipeline コマンドを実行します。
```
aws codepipeline get-pipeline --name example-account-b-pipeline > codepipeline.json
```
**注:**example-account-b-pipeline をアカウント B のパイプライン名に置き換えてください。

Source ステージにクロスアカウント IAM ロールの ARN を、codepipeline.json ファイルに追加します。

{
  "name": "Source",
  "actions": [
    {
      "name": "Source",
      "actionTypeId": {
        "category": "Source",
        "owner": "AWS",
        "provider": "CodeCommit",
        "version": "1"
     },
      "runOrder": 1,
      "roleArn": "arn:aws:iam::example-account-a-id:role/example-cross-account-access-role",
      "configuration": {
        "BranchName": "main",
        "OutputArtifactFormat": "CODE_ZIP",
        "PollForSourceChanges": "false",
        "RepositoryName": "example-account-a-repository"
      },
      "outputArtifacts": [
        {
          "name": "SourceArtifact"
        }
      ],
      "inputArtifacts": [],
      "region": "example-region",
      "namespace": "SourceVariables"
    }
  ]
}

**注:**example-account-a-id をアカウント A の ID に、example-cross-account-access-role をクロスアカウントロールに、example-account-a-repository をアカウント A のリポジトリに、example-region を使用する AWS リージョンに置き換えてください。

codepipeline.json ファイルの末尾にあるメタデータセクションを削除してください。また、メタデータセクションの前にあるカンマも削除してください。
例:

"metadata": {
    "pipelineArn": "arn:aws:codepipeline:ap-southeast-2:12345678912:Account_B_pipeline",
    "created": "2023-01-11T05:09:20.235000+00:00",
    "updated": "2023-01-11T17:34:37.294000+00:00"
}

パイプラインを更新するには、update-pipeline コマンドを実行します。

aws codepipeline update-pipeline --cli-input-json example-codepipeline.json

**注:**example-codepipeline.json をパイプラインの JSON ファイルに置き換えてください。

注: 上記の解決策を使用して、他の AWS サービスで異なる AWS アカウントの CodeCommit や Amazon S3 を利用することもできます。これを行うには、パイプラインの各ステージで、異なるアカウントのソースステージと AWS サービスを統合します。詳細については、「別の AWS アカウントのリソースを使用する CodePipeline パイプラインの作成」を参照してください。

トピック: Developer Tools
タグ: AWS CodePipeline AWS CodeCommit
言語: 日本語

AWS公式更新しました 2年前

コメントはありません

クロスアカウントの CodeCommit リポジトリで CodePipeline のソースステージをどのように構成すればよいですか？

解決策

アカウント A に CodeCommit リポジトリを作成します。

アカウント A でクロスアカウントロールを設定します

アカウント B のコードパイプラインで使用する AWS KMS キーを作成する

アカウント B でコードパイプラインを作成する

アカウント B の AWS KMS 使用ポリシーを更新する

アカウント B でロール引受ポリシーを設定します。

アカウント B の CodePipeline アーティファクトバケットのバケットポリシーを更新します。

アカウント A に対して、アカウント B の AWS KMS キーを使用する権限を付与するインライン IAM ポリシーを作成します。

パイプラインを更新してクロスアカウントロールを使用するように設定します

関連するコンテンツ