如何将不同GitHub仓库对接至不同AWS账户？CodePipeline配置疑问

问题背景 #

• 单GitHub组织托管多客户专属仓库
• 每个客户对应独立AWS账户，需搭建专属CodePipeline流水线
• 使用AWS GitHub V2连接器时，组织级的“AWS Connector for GitHub”应用会让所有关联的AWS账户看到所有授权仓库，存在跨客户代码访问风险
• 尝试创建自定义GitHub App并单独安装到对应仓库，但CodePipeline中无法选择该自定义应用

解决步骤 #

1. 为每个客户创建专属自定义GitHub App #

在GitHub组织中为每个客户创建独立的自定义App，仅授权给对应客户的仓库：

• 进入GitHub组织的「Settings」→「Developer settings」→「GitHub Apps」→「New GitHub App」
• 配置App基本信息，安装时仅勾选对应客户的目标仓库
• 授予最小必要权限：
  • 仓库权限：「Contents」设为「Read-only」；若需自动触发流水线，需添加「Webhooks」权限并设置Payload URL
  • 组织权限：保持默认无需额外授权
• 生成并保存App的私钥（后续AWS配置必需）

2. 在对应客户的AWS账户中创建专属CodeStar连接 #

每个客户的AWS账户单独创建CodeStar连接，关联上述自定义GitHub App：

• 登录客户的AWS控制台，进入「CodeStar Connections」服务
• 点击「Create connection」，选择「GitHub」作为提供商，点击「Connect to GitHub」
• 在授权页面选择使用已创建的自定义GitHub App，而非默认的组织级AWS Connector
• 完成授权后，该连接仅关联对应客户的GitHub仓库

3. 在CodePipeline中使用专属连接 #

创建或编辑CodePipeline时：

• 源阶段选择「GitHub (Version 2)」作为源提供商
• 在「Connection」下拉菜单中选择刚才创建的专属CodeStar连接
• 此时仅能看到该连接关联的客户专属仓库，实现完全隔离

关键说明 #

• 每个AWS账户对应独立的CodeStar连接和自定义GitHub App，确保客户间资源完全隔离
• 自定义GitHub App权限遵循最小化原则，仅授予必要的仓库访问权限
• 若需流水线自动触发，需在GitHub App中配置Webhook，指向CodePipeline源阶段的触发URL

内容的提问来源于stack exchange，提问作者Bruno Smaldone