View a markdown version of this page

Service-linked Rolle für Spot-Instance-Anfragen - Amazon Elastic Compute Cloud
Genehmigungen erteilt von AWSServiceRoleForEC2SpotErstellen der serviceverknüpften RolleGewähren von Zugriff auf von Kunden verwaltete Schlüssel zur Verwendung mit verschlüsselten AMIs und EBS-Snapshots

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Service-linked Rolle für Spot-Instance-Anfragen

Amazon EC2 nutzt serviceverknüpfte Rollen für die Berechtigungen, die für den Aufruf anderer AWS -Services in Ihrem Namen benötigt werden. Eine serviceverknüpfte Rolle ist eine einzigartige Art von IAM-Rolle, die direkt mit einer verknüpft ist. AWS-Service Service-linked Rollen bieten eine sichere Methode zum Delegieren von Berechtigungen, AWS-Services da nur der verknüpfte Dienst eine dienstverknüpfte Rolle übernehmen kann. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Service-linked Rollen.

Amazon EC2 verwendet die angegebene serviceverknüpfte Rolle, AWSServiceRoleForEC2Spot um Spot-Instances in Ihrem Namen zu starten und zu verwalten.

Genehmigungen erteilt von AWSServiceRoleForEC2Spot

Amazon EC2 verwendet AWSServiceRoleForEC2Spot, um die folgenden Aktionen abzuschließen:

  • ec2:DescribeInstances: Spot-Instances beschreiben

  • ec2:StopInstances: Spot-Instances stoppen

  • ec2:StartInstances: Spot-Instances starten

Erstellen der serviceverknüpften Rolle

Größtenteils müssen Sie die serviceverknüpfte Rolle nicht manuell erstellen. Amazon EC2 erstellt die AWSServiceRoleForEC2Spot serviceverknüpfte Rolle, wenn Sie zum ersten Mal eine Spot-Instance mithilfe der Konsole anfordern.

Wenn Sie vor Oktober 2017, als Amazon EC2 begann, diese serviceverknüpfte Rolle zu unterstützen, eine aktive Spot-Instance-Anfrage hatten, hat Amazon EC2 die AWSServiceRoleForEC2Spot Rolle in Ihrem Konto erstellt. AWS Weitere Informationen finden Sie unter In meinem Konto wird eine neue Rolle angezeigt im IAM-Benutzerhandbuch.

Wenn Sie die AWS CLI oder eine API verwenden, um eine Spot-Instance anzufordern, müssen Sie zunächst sicherstellen, dass diese Rolle existiert.

Um zu erstellen AWSServiceRoleForEC2Spot mit der Konsole

  1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

  2. Wählen Sie im Navigationsbereich Rollen aus.

  3. Wählen Sie Create role (Rolle erstellen) aus.

  4. Wählen Sie auf der Seite Select type of trusted entity (Auswahl des Typs der vertrauenswürdigen Entität) nacheinander EC2, EC2 - Spot Instances (EC2 – Spot-Instances) und Next: Permissions (Weiter: Berechtigungen) aus.

  5. Wählen Sie auf der nächsten Seite Next:Review.

  6. Wählen Sie auf der Seite Review (Prüfen) Create role (Rolle erstellen) aus.

Um zu erstellen AWSServiceRoleForEC2Spot mit dem AWS CLI

Verwenden Sie den Befehl create-service-linked-role wie folgt.

aws iam create-service-linked-role --aws-service-name spot.amazonaws.com

Wenn Sie Spot-Instances nicht mehr verwenden müssen, empfehlen wir Ihnen, die AWSServiceRoleForEC2Spot Rolle zu löschen. Wenn diese Rolle in Ihrem Konto gelöscht wurde, erstellt Amazon EC2 die Rolle erneut, sobald Sie Spot-Instances anfordern.

Gewähren von Zugriff auf von Kunden verwaltete Schlüssel zur Verwendung mit verschlüsselten AMIs und EBS-Snapshots

Wenn Sie ein verschlüsseltes AMI oder einen verschlüsselten Amazon EBS-Snapshot für Ihre Spot-Instances angeben und einen vom Kunden verwalteten Schlüssel für die Verschlüsselung verwenden, müssen Sie der AWSServiceRoleForEC2Spot Rolle die Erlaubnis erteilen, den vom Kunden verwalteten Schlüssel zu verwenden, damit Amazon EC2 Spot-Instances in Ihrem Namen starten kann. Dazu müssen Sie dem vom Kunden verwalteten Schlüssel eine Erteilung hinzufügen, wie im Folgenden gezeigt:

Bei der Einrichtung von Berechtigungen ist die Erteilung von Berechtigung eine Alternative zu Schüsselrichtlinien. Weitere Informationen finden Sie unter Verwenden von Erteilungen und Verwenden von Schlüsselrichtlinien in AWS KMS im Developer-Handbuch für AWS Key Management Service .

Um Folgendes zu gewähren AWSServiceRoleForEC2Spot Rollenberechtigungen zur Verwendung des vom Kunden verwalteten Schlüssels

  • Verwenden Sie den Befehl create-grant, um dem vom Kunden verwalteten Schlüssel einen Zuschuss hinzuzufügen und den Principal (die AWSServiceRoleForEC2Spot serviceverknüpfte Rolle) anzugeben, dem die Berechtigung zur Ausführung der durch die Gewährung gewährten Vorgänge erteilt wird. Der vom Kunden verwaltete Schlüssel wird durch den key-id-Parameter und den ARN des vom Kunden verwalteten Schlüssels angegeben. Der Principal wird durch den grantee-principal Parameter und den ARN der serviceverknüpften Rolle angegeben. AWSServiceRoleForEC2Spot 

    aws kms create-grant \
    --region us-east-1 \
    --key-id arn:aws:kms:us-east-1:444455556666:key/1234abcd-12ab-34cd-56ef-1234567890ab \
    --grantee-principal arn:aws:iam::111122223333:role/aws-service-role/spot.amazonaws.com/AWSServiceRoleForEC2Spot \
    --operations "Decrypt" "Encrypt" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "CreateGrant" "DescribeKey" "ReEncryptFrom" "ReEncryptTo"