如何在CodePipeline中通过AWS Connector for GitHub访问组织的GitHub仓库

推荐方案：使用组织级AWS Connector for GitHub创建连接 #

这是生产环境的首选方案，核心优势是权限独立于单个用户，不会因为个人账号离职、权限变动导致流水线失效，也方便组织统一管理所有AWS资源对GitHub仓库的访问权限，符合企业合规要求。

权限配置步骤 #

GitHub侧权限要求

• 你需要拥有GitHub组织的所有者权限，或由组织所有者为你分配GitHub应用的管理权限，才能完成组织级连接器与AWS连接的绑定
• 确认组织级AWS Connector for GitHub的仓库访问范围已经包含目标仓库：可以选择授予所有组织仓库权限，或仅勾选需要用到的特定仓库，权限集至少需要包含代码读取、Webhook管理（用于代码提交自动触发流水线）

AWS侧权限要求

• 你操作AWS控制台的IAM身份（用户/角色）需要开通以下权限：
  • codestar-connections:CreateConnection
  • codestar-connections:ListInstallationTargets
  • codestar-connections:StartOAuthHandshake
  • codestar-connections:UseConnection
• CodePipeline的服务角色需要附加codestar-connections:UseConnection权限，资源项指定为你创建的连接ARN即可正常拉取源代码

不推荐方案：个人连接器访问组织仓库（仅作参考） #

该方案依赖个人GitHub账号的组织权限，一旦个人账号从组织移除、权限调整或账号失效，流水线会直接中断，仅适合临时测试场景使用，配置要求如下：

• 你的个人GitHub账号需要是目标组织的成员，且拥有对应仓库的读取权限
• 联系GitHub组织所有者，在组织设置的GitHub应用管理页，批准个人账号绑定的AWS Connector for GitHub的组织访问申请
• 刷新AWS连接配置后即可看到组织仓库列表

内容的提问来源于stack exchange，提问作者Paul Pearson