AWS CDK -如何在帐户中给服务器部署组-2一个跨帐户访问我的codepipeline在帐户中的工件桶-1

Question

我的申请有适用于CI/CD的AWS代码管道。我正在使用2个AWS帐户。Account-1用于我的存储库和管道，account-2是所有Infra/服务器所在的地方。

因此，这是我的管道的部署阶段，其中在account-2中创建了deploymentGroup，并将其分配为对象props.ec2DeploymentGroup。

{
    stageName: "deploy-to-" + props.targetEnvName,
    actions: [
       new codepipeline_actions.CodeDeployServerDeployAction({
          actionName: "deploy-to-"+props.targetEnvName+"-"+ props.applicationName + "-ec2",
          input: appBuildOutput,
          deploymentGroup: props.ec2DeploymentGroup
       })
        ]
  }

现在，当我的部署阶段运行时，它成功地尝试将工件部署到account-2中的DeploymentGroup/Servers，但是在downloadBundle事件中失败了。

访问被拒绝

这是因为我的工件桶在帐户-1(因为我的管道在帐户-1)和部署组在帐户-2没有访问这个工件桶帐户-1。

我尝试这样做，但不确定如何让props.ec2DeploymentGroup的角色在这里传递。

pipeline.artifactBucket.grantRead(whatObjectToPassHere)

那么，我应该如何使用AWS提供跨帐户访问工件桶的权限？

Answer 1

因此，我找到了问题的解决方案(我得到了AWS支持的帮助)，我的EC2实例配置文件无法访问另一个帐户中的工件桶。

我在CDK中使用下面的代码管理

const ec2InstanceProfileRole = iam.Role.fromRoleArn(this, 'Role', 
'arn:aws:iam::'+props.targetAccountId+':role/'+props.ec2InstanceProfileName, 
{
   mutable: false,
});

pipeline.artifactBucket.grantRead(ec2InstanceProfileRole);