如何仅允许从AWS控制台启动CodePipeline执行，拒绝外部源触发？

可以实现这个需求，核心思路是通过IAM权限策略的条件判断，识别并仅允许来自AWS控制台的流水线触发请求，拒绝CLI、API等外部调用。

具体实现步骤： #

1. 编写IAM权限策略
   创建一个策略，先拒绝所有不符合控制台请求特征的codepipeline:StartPipelineExecution调用，再允许符合条件的请求。示例策略如下：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Deny",
               "Action": "codepipeline:StartPipelineExecution",
               "Resource": "arn:aws:codepipeline:你的区域:你的账户ID:目标流水线名称",
               "Condition": {
                   "StringNotLike": {
                       "aws:UserAgent": "*console.amazonaws.com*"
                   }
               }
           },
           {
               "Effect": "Allow",
               "Action": "codepipeline:StartPipelineExecution",
               "Resource": "arn:aws:codepipeline:你的区域:你的账户ID:目标流水线名称"
           }
       ]
   }
   

   原理说明：AWS控制台触发“发布更改”时，请求的UserAgent会包含console.amazonaws.com标识；而CLI、SDK或自定义API调用的UserAgent不会带有该标识，会被第一条拒绝规则拦截。

2. 策略附加与测试

   • 将上述策略附加到所有可能触发该CodePipeline的IAM实体（包括IAM用户、角色）。
   • 验证效果：
     • 用CLI执行aws codepipeline start-pipeline-execution --name 目标流水线名称，会收到权限拒绝提示。
     • 在AWS控制台点击“发布更改”，流水线能正常启动执行。

注意事项 #

• 这种方式基于UserAgent识别，虽然存在被伪造的理论可能，但在正常AWS使用场景下，CLI/SDK调用不会伪造控制台标识，足以满足需求。
• 如果需要允许其他AWS服务（如CodeCommit、CloudWatch Events）触发流水线，需调整策略条件，添加对应的UserAgent或其他识别特征。

内容的提问来源于stack exchange，提问作者Comfortably Numb