制品仓库管理 - 使用 AWS CodeArtifact 构建安全的包管理基础设施

制品仓库的作用与 CodeArtifact 概述

在软件开发中，外部库和内部公共包的管理是质量和安全的关键。AWS CodeArtifact 是支持 npm、Maven、PyPI、NuGet、Swift、Cargo 等主流包管理器的全托管制品仓库服务。它可代理从公共仓库获取包的过程，仅向开发者提供内部已批准的版本。在本地运维 Nexus Repository 或 JFrog Artifactory 时，需要自行处理服务器配置、存储管理、备份和扩展。CodeArtifact 将这些运维负担全部委托给 AWS，开发团队可专注于包的使用和治理。CodeArtifact 作为独立服务使用，通过 IAM 策略实现整个 AWS 环境中一致的访问控制是其重要优势。域和仓库的层级结构可统一应用组织范围的包管理策略。

上游仓库与包流控制

CodeArtifact 的上游仓库功能是分层控制包获取来源的机制。将内部仓库设为主仓库，将公共仓库（npmjs.com、Maven Central、PyPI）设为上游，可优先解析内部包，同时透明获取外部包。以下是使用 AWS CLI 创建域和仓库并设置 npm 上游的示例。

# 创建域
aws codeartifact create-domain --domain my-org

# 创建内部仓库
aws codeartifact create-repository \
  --domain my-org \
  --repository internal-packages

# 将 npm 公共仓库设为上游
aws codeartifact create-repository \
  --domain my-org \
  --repository npm-store \
  --upstreams repositoryName=internal-packages

aws codeartifact associate-external-connection \
  --domain my-org \
  --repository npm-store \
  --external-connection public:npmjs

通过包来源控制，可精细控制特定包仅从外部获取或仅限内部发布。作为依赖混淆攻击（Dependency Confusion Attack）的对策，标准提供了阻止获取与内部包同名的外部包的设置。包的版本管理和生命周期策略还可实现旧版本的自动归档和存储成本优化。

与 CodeBuild 的集成及安全构建流水线

CodeArtifact 与 CodeBuild 的集成对构建安全构建流水线不可或缺。从 CodeBuild 构建环境使用认证令牌访问 CodeArtifact，仅使用已批准的包执行构建。认证令牌最长有效期为 12 小时，每次构建自动更新，无需管理长期凭证。以下是在 buildspec.yml 中设置 CodeArtifact 认证并获取 npm 包的示例。

version: 0.2
phases:
  pre_build:
    commands:
      - aws codeartifact login --tool npm \
          --domain my-org \
          --repository npm-store
      - npm ci
  build:
    commands:
      - npm run build
      - npm test
artifacts:
  files:
    - 'dist/**/*'

使用 VPC 端点可从构建环境不经互联网访问 CodeArtifact，进一步增强网络安全。在本地 CI/CD 环境中，确保到私有仓库的网络路径和防火墙设置往往很复杂，而在 AWS 环境中可通过基于 IAM 角色的认证简洁配置。

跨账户共享与组织级治理

CodeArtifact 的域功能与 AWS Organizations 联动，实现组织级的包治理。一个域可在多个 AWS 账户间共享，通过资源策略精细控制每个账户的访问权限。以下是允许跨账户访问的域策略设置示例。

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "AWS": "arn:aws:iam::123456789012:root" },
    "Action": ["codeartifact:GetAuthorizationToken", "codeartifact:ReadFromRepository"],
    "Resource": "*"
  }]
}

可为发布公共库的团队授予写入权限，为使用方团队仅授予读取权限。通过与 CloudTrail 集成，自动记录谁在何时下载或发布了哪个包的审计日志。结合 EventBridge，可构建以新包版本发布为触发器自动启动下游构建流水线的机制。与包漏洞扫描结合，可降低供应链攻击风险，增强组织整体的软件供应链安全。

CodeArtifact 的定价

CodeArtifact 的存储费用为每 GB 每月约 0.05 美元，请求费用为每 10,000 次约 0.05 美元（截至 2026 年 8 月）。从上游缓存的公共包也计入存储费用。通过 Organizations 共享域时不产生额外费用。通过生命周期策略自动删除旧版本来管理存储成本。

总结 - 制品仓库策略优化

AWS CodeArtifact 作为支持多语言的全托管制品仓库，大幅降低了包管理的复杂度。在软件供应链安全日益受到重视的当下，CodeArtifact 标准化了开发组织的包管理，通过统一管理从上游仓库获取包的过程，提升了依赖关系的可见性和安全性。