如何通过AWS CodeArtifact拦截公共PyPI仓库指定前缀的包请求？

CodeArtifact目前没有原生等价于Artifactory的包前缀包含/排除功能，且受IAM策略限制：codeartifact:ReadFromRepository仅支持仓库级授权，无法针对特定包前缀做细粒度的读取权限控制。你需要的场景可通过以下两种方案实现：

方案1：双仓库分流（推荐，无额外运维成本） #

• 部署两个独立的CodeArtifact PyPI仓库：
  • 私有包专属仓库：不关联任何上游源，仅用于存储所有foo.前缀的私有包，仅对内部团队开放读写权限
  • 公共包代理仓库：关联公共PyPI作为上游，用于拉取所有非foo.前缀的第三方公共包
• 在本地开发环境、CI/CD流水线的pip配置文件（pip.conf 或 pip.ini）中配置源规则，强制foo.前缀包仅从私有仓库拉取：

[global]
# 优先匹配私有仓库
index-url = https://<私有仓库CodeArtifact域名>/simple/
# 补充公共包代理仓库
extra-index-url = https://<公共代理仓库CodeArtifact域名>/simple/
trusted-host = <私有仓库域名> <公共代理仓库域名>

[install]
# 针对pip 21.2及以上版本，可直接指定foo前缀包的唯一拉取源
foo.* = https://<私有仓库CodeArtifact域名>/simple/

该方案无需额外开发，完全依赖原生pip功能和CodeArtifact基础能力，稳定性最高。

方案2：请求事件拦截（适合复杂权限场景） #

• 配置EventBridge规则捕获CodeArtifact的所有包拉取请求事件
• 绑定Lambda函数作为规则触发器，匹配包名前缀为foo.的请求：
  • 如果私有仓库中存在对应包版本，正常返回资源
  • 如果私有仓库中不存在对应包版本，直接返回404响应，终止请求链路，禁止转发到上游公共PyPI
    该方案可以实现更复杂的包匹配、权限控制逻辑，但需要额外开发和运维Lambda函数。

内容的提问来源于stack exchange，提问作者andrewlarrry