5
votes

Comment résoudre les problèmes d'accès refusé dans le déploiement de code pour l'étape DownloadBundle

La capture d'écran ci-jointe est l'erreur. Il n'y a pas de messages stderr à dépanner. J'ai déjà défini l'accès IAM EC2 nécessaire à S3. Quel pourrait donc être le problème?

[ [

J'ai également ajouté les exigences utilisateur pour IAM, donc je suis je ne sais pas ce qui ne va pas

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::codepipeline-ap-southeast-1-617020163322/*",
                "arn:aws:s3:::aws-codedeploy-us-east-2/*",
                "arn:aws:s3:::aws-codedeploy-us-east-1/*",
                "arn:aws:s3:::aws-codedeploy-us-west-1/*",
                "arn:aws:s3:::aws-codedeploy-us-west-2/*",
                "arn:aws:s3:::aws-codedeploy-ca-central-1/*",
                "arn:aws:s3:::aws-codedeploy-eu-west-1/*",
                "arn:aws:s3:::aws-codedeploy-eu-west-2/*",
                "arn:aws:s3:::aws-codedeploy-eu-west-3/*",
                "arn:aws:s3:::aws-codedeploy-eu-central-1/*",
                "arn:aws:s3:::aws-codedeploy-ap-northeast-1/*",
                "arn:aws:s3:::aws-codedeploy-ap-northeast-2/*",
                "arn:aws:s3:::aws-codedeploy-ap-southeast-1/*",
                "arn:aws:s3:::aws-codedeploy-ap-southeast-2/*",
                "arn:aws:s3:::aws-codedeploy-ap-south-1/*",
                "arn:aws:s3:::aws-codedeploy-sa-east-1/*"
            ]
        }
    ]
}

aws-code-deploy

0 commentaires

4 Réponses :

5
votes

Les erreurs associées à l'événement de cycle de vie DownloadBundle sont:

Le bucket se trouve dans une région différente de celle du pipeline (ce que je peux voir de votre capture d'écran n'est pas).
Parce que profil d'instance IAM attaché à votre instance EC2 ne dispose pas des autorisations pour accéder à l'application révision dans Amazon S3.

Le bucket "arn: aws: s3 ::: codepipeline-ap-sud-est-1-617020163322" est-il dans lequel le bundle est stocké? Ce dossier a-t-il été créé par CodePipeline?

Si oui, ma recommandation est d'utiliser un compartiment différent de celui utilisé par CodePipeline pour stocker les artefacts. Surtout parce que vous aurez besoin d'un politique de compartiment pour accorder à vos instances les autorisations nécessaires pour télécharger la révision de l'application.

0 commentaires

2
votes

J'ai le même problème et j'ai pu le résoudre. J'ai oublié d'ajouter l'autorisation à KMS dans mon rôle d'assumer EC2. Mon compartiment d'artefacts S3 utilise le chiffrement KMS.Par conséquent, puisque CodePipeline utilise KMS, il jette ACCESS REFUSÉ au compartiment S3. L'erreur n'est cependant pas assez conviviale pour indiquer à l'utilisateur quel est le problème réel.

0 commentaires

5
votes

Nous avons rencontré le même problème et ont été résolus en recherchant le rôle IAM des instances de destination (sous l'onglet de description de l'instance) et la stratégie d'accès S3 associée.

0 commentaires

0
votes

Juste pour ajouter d'autres solutions possibles à ce problème, car je viens de le rencontrer aujourd'hui.

Mon problème était l'utilisation d'un bucket d'artefacts personnalisé (c'est-à-dire non créé par CodePipeline) qui était censé désactiver la gestion des versions (suspendu) et mon profil EC2 avait les autorisations suivantes:

          "Effect": 
           "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:PutObject",
                "s3:GetObject",
                "s3:GetEncryptionConfiguration",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads"
            ],
            "Resource": "*"

L'ajout de s3: GetObjectVersion à la politique EC2 sur mes boîtes CodeDeploy a résolu le problème. p >

C'était assez déroutant car la gestion des versions a été désactivée.

tldr; En cas de doute, accordez des autorisations de contrôle de version.

0 commentaires