如何配置外部用户通过pip从CodeArtifact安装Python制品

• 你已经打通的「CodeBuild构建Python包、发布至CodeArtifact仓库」的流程，完全可以支撑外部用户通过pip安装对应发布的包，不需要对现有发布链路做任何改造。
• 关于“是否需要为每个独立外部用户创建对应IAM账户并单独管理权限”的猜想，实际操作中不需要这么重的配置：CodeArtifact的访问授权支持仓库管理员集中管控，不需要把所有外部用户都纳入主账号的IAM身份体系：
  • 针对需要长期固定访问的外部用户，你可以在自有AWS账号下创建仅保留指定仓库只读权限的访问凭证，权限边界严格限制在“可拉取对应仓库的Python包”范围内，用户拿到凭证后只能访问对应仓库，没有操作你其他云资源的权限。
  • 针对短期临时访问的场景，你可以直接生成时效可控的临时授权令牌，不需要绑定特定用户身份，按需分发即可，令牌到期后自动失效，不会残留长期访问风险。
• 关于devpi的用户权限疑问：devpi的内置用户体系默认做了严格的权限隔离，普通新建用户仅具备从仓库拉取包、上传自有包的基础能力，不会默认获得服务端全局管理权限；只有被手动纳入管理员用户组的账号，才拥有调整仓库配置、管理访问规则的权限。
• 你希望“向用户提供对应凭证，让用户在pip安装时指定你的CodeArtifact仓库、传入凭证即可完成安装”的需求，CodeArtifact原生就支持。你只需要把仓库的PyPI源地址、对应可用的凭证提供给用户，用户既可以直接在pip安装命令里通过参数传入凭证完成安装，也可以把配置写入本地的pip配置文件，后续直接执行常规的pip install 你的包名命令就能拉取你发布的包，不需要用户本地安装AWS CLI、执行专属的仓库登录流程。

内容的提问来源于stack exchange，提问作者Jane Wayne