如何实现Sandbox账号Amplify关联部署账号中的CodeCommit仓库

配置无效的核心根因 #

之前各类跨账号权限配置不生效的本质逻辑：

• Amplify控制台的CodeCommit仓库下拉选择器，仅会枚举当前登录身份所属AWS账号下的CodeCommit资源，不会触发跨账号权限校验拉取其他账号的仓库列表，这是UI层的硬编码限制，并非权限配置错误导致
• 常规跨账号角色切换的访问逻辑，仅适配资源操作时的权限校验环节，无法触发UI侧的跨账号资源枚举流程，因此下拉列表中永远无法展示部署账号下的目标CodeCommit仓库

可落地的完整配置流程 #

1. 部署账号侧的权限链路配置 #

部署账号是托管CodeCommit仓库的独立账号，需要完成以下配置：

• 创建专属IAM角色，将信任主体设置为Sandbox账号下的Amplify服务关联角色（对应ARN格式为arn:aws:iam::<Sandbox账号ID>:role/aws-service-role/amplify.amazonaws.com/AWSServiceRoleForAmplify），不要将信任主体绑定为普通IAM用户或人工操作的角色
• 为该角色附加目标CodeCommit仓库的最小操作权限：允许codecommit:GitPull、codecommit:GitPush、codecommit:ListRepositories操作，不要附加全账号范围的CodeCommit权限
• 关闭该角色的控制台登录权限，仅允许Amplify服务主体跨账号代入使用

2. 绕开UI枚举限制完成仓库关联 #

Sandbox账号下的Amplify应用关联仓库时，跳过默认的本账号仓库选择流程：

• 进入对应Amplify应用的「应用设置」-「源代码仓库」配置页
• 不使用默认弹出的“从本账号选择CodeCommit仓库”入口，点击「连接其他仓库」选项
• 手动选择CodeCommit类型，填写跨账号仓库的完整信息：
  • 目标仓库的完整ARN：arn:aws:codecommit:<部署账号所在区域>:<部署账号ID>:<仓库名称>
  • 填写上一步在部署账号创建的跨账号角色ARN
• 提交配置后触发一次测试构建，验证Amplify服务可以正常拉取仓库代码

3. 后续运行链路适配 #

• 关联完成后，在Amplify仓库配置页手动绑定CodeCommit的触发Webhook，Webhook回调地址会自动指向Sandbox账号的Amplify服务端点，无需额外跨账号网络配置
• 开发者日常代码推送时，直接使用部署账号下的CodeCommit HTTPS凭证推送至部署账号仓库即可，无需在Sandbox账号配置代码访问权限

高频踩坑点 #

• 不要尝试给Sandbox账号的普通IAM用户配置跨账号CodeCommit访问权限：这类权限仅能支撑人工在控制台操作CodeCommit资源，完全不会传递给Amplify后端的代码拉取流程
• 注意信任关系的主体方向：必须是部署账号的角色信任Sandbox账号的Amplify服务主体，如果反过来配置Sandbox账号的角色信任部署账号资源，Amplify服务永远无法成功代入跨账号角色
• 关联仓库时不要使用Amplify的自动角色选择逻辑：该逻辑仅会扫描本账号的资源列表，必须手动填写跨账号的仓库ARN和角色信息，否则会始终提示找不到仓库

内容的提问来源于stack exchange，提问作者w.eric