Peta dunia

 

EN

Dunia A2: Kunci & Pengawal · Cabaran bos

Kunci secukupnya

Anda akan belajar: benarkan role CI push satu image ke satu repository, tiada lebih.

Teks BM belum disemak oleh penutur asli.

Disemak dengan AWS 2026-11 pada 1 Nov 2026

Masalahnya

Boss: workflow Kedai Kancil mesti push imagenya ke rak kedai dalam ECR. Siapa patut buat push?

Cuba

Bilik 1: rancang binaan. Susun langkah-langkahnya.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

  • Tambah OIDC provider GitHub ke IAM
  • Beri workflow id-token: write
  • Push image, kemudian semak siapa anda tadi
  • Pasang polisi log masuk dan polisi push
  • Buat role ci-deployer, percaya repo shop sahaja

Cuba

Bilik 2: rakan sepasukan tulis trust policy ini. Ketik baris yang benarkan orang asing masuk.

Ketik baris yang berisiko.

0 daripada 1 dijumpai

Cuba

Bilik 3: polisi push berfungsi pada setiap rak. Betulkan baris merah jambu supaya push ke kedai-admin dapat Deny. Namakan rak kedai sahaja.

Tukar baris merah jambu supaya AWS kata Deny.

Permintaan

Siapa
ci-deployer (sesi role)arn:aws:sts::111122223333:assumed-role/ci-deployer/run-42
Mahu buat
ecr:PutImage
Pada
arn:aws:ecr:ap-southeast-5:111122223333:repository/kedai-admin
Identity policy (gugusan kunci) · ecr-push
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ecr:BatchCheckLayerAvailability",
"ecr:InitiateLayerUpload",
"ecr:UploadLayerPart",
"ecr:CompleteLayerUpload",
"ecr:PutImage"
],
}
]
}

Teka

Bilik 4: sebelum push, workflow mesti log masuk ke ECR. Itu perlukan satu kunci lagi. Yang mana?

Semak

Bilik 5: set penuh. Role itu push ke rak kedai. Ramalkan.

Baca permintaan dan policy-nya. AWS akan kata Allow atau Deny?

Permintaan

Siapa
ci-deployer (sesi role)arn:aws:sts::111122223333:assumed-role/ci-deployer/run-42
Mahu buat
ecr:PutImage
Pada
arn:aws:ecr:ap-southeast-5:111122223333:repository/kedai
Identity policy (gugusan kunci) · ecr-login
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "ecr:GetAuthorizationToken",
"Resource": "*"
}
]
}
Identity policy (gugusan kunci) · ecr-push
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ecr:BatchCheckLayerAvailability",
"ecr:InitiateLayerUpload",
"ecr:UploadLayerPart",
"ecr:CompleteLayerUpload",
"ecr:PutImage"
],
"Resource": "arn:aws:ecr:ap-southeast-5:111122223333:repository/kedai"
}
]
}
Tekaan anda:

Cuba

Bilik terakhir, betul-betul (hanya bila penggera bajet dipasang). IAM percuma; image yang disimpan ada kos sedikit. Senarai bersihkan: image, repository, role, provider.

Misi sebenar

0 daripada 7 langkah siap · Tanda anda disimpan.

Anda berjaya!

Kini anda boleh beri role CI kunci secukupnya: satu rak, push sahaja.