Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Instance-Profil von Amazon ECS Managed Instances

Ein Instance-Profil ist ein IAM-Container, der genau eine IAM-Rolle enthält und es Amazon ECS Managed Instances ermöglicht, diese Rolle sicher anzunehmen. Das Instance-Profil enthält eine Instance-Rolle, die der ECS-Agent übernimmt, um Instances bei Clustern zu registrieren und mit dem ECS-Service zu kommunizieren.

Erstellen Sie die Rolle mit der Vertrauensrichtlinie.

Sie können die Rolle auch mithilfe des Workflows für benutzerdefinierte Vertrauensrichtlinien der IAM-Konsole erstellen. Weitere Informationen finden Sie unter Erstellen einer Rolle mit benutzerdefinierten Vertrauensrichtlinien (Konsole) im IAM-Benutzerhandbuch.

Wenn Sie die Datei erstellt haben, müssen Sie Ihrem Benutzer die Berechtigung erteilen, die Rolle an Amazon ECS zu übergeben.

Erstellen Sie das Instanzprofil mit dem AWS CLI

Nachdem Sie die Rolle erstellt haben, erstellen Sie das Instance-Profil mit der AWS CLI.

aws iam create-instance-profile --instance-profile-name ecsInstanceRole 

Fügen Sie dem Instance-Profil die IAM-Rolle hinzu.

aws iam add-role-to-instance-profile \
   --instance-profile-name ecsInstanceRole \
   --role-name ecsInstanceRole 

Überprüfen Sie, ob das Projekt erfolgreich erstellt wurde.

aws iam get-instance-profile --instance-profile-name ecsInstanceRole 

Erstellen Sie das Instanzprofil mit CloudFormation

Sie können AWS CloudFormation es verwenden, um die Instanzrolle und das Instanzprofil zu erstellen. Wählen Sie eine der folgenden Optionen aus, je nachdem, ob Sie die AWS-managed Infrastructure-Richtlinie oder eine benutzerdefinierte Richtlinie verwenden.

Option 1: Verwenden Sie die InstanceRole ecs-Namenskonvention (empfohlen)

Wenn Sie die Infrastrukturrichtlinie AWS-managed verwenden, müssen Sie explizit einen Wert festlegenRoleName, der mit ecsInstanceRole beginnt. Wenn Sie diesen Wert weglassenRoleName, wird CloudFormation automatisch ein Name generiert, der nicht der iam:PassRole Bedingung der verwalteten Richtlinie entspricht, und die Aufgaben können nicht gestartet werden.

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: ecsInstanceRole
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      InstanceProfileName: ecsInstanceRole
      Roles:
        - !Ref EcsInstanceRole

Option 2: Verwenden Sie einen benutzerdefinierten Rollennamen

Wenn Sie es vorziehen, den Rollennamen CloudFormation generieren zu lassen, oder wenn Sie einen benutzerdefinierten Namen verwenden, der nicht mit beginntecsInstanceRole, müssen Sie Ihrer Infrastrukturrolle eine Inline-Richtlinie hinzufügen, die die Instanzrolle gewährtiam:PassRole.

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      # No RoleName — CFN auto-generates
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Roles:
        - !Ref EcsInstanceRole

  EcsInfrastructureRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ecs.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInfrastructureRolePolicyForManagedInstances
      Policies:
        - PolicyName: PassInstanceRoleToEC2
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action: iam:PassRole
                Resource: !GetAtt EcsInstanceRole.Arn
                Condition:
                  StringLike:
                    iam:PassedToService: "ec2.*"

Fehlerbehebung

Aufgaben schlagen mit iam fehl: PassRole Autorisierungsfehler

Wenn Ihre Aufgaben mit einer ResourceInitializationError Erwähnung fehlschlageniam:PassRole, stellen Sie sicher, dass der Name Ihrer Instanzrolle mit ecsInstanceRole beginnt. Sie können den automatisch generierten Namen in der CloudFormation Konsole unter dem Reiter Ressourcen Ihres Stacks überprüfen. Wenn der Name nicht übereinstimmt, gilt auch: