Rôle IAM d'instance de conteneur Amazon ECS

Pour créer le rôle de service pour Elastic Container Service (console IAM)

1. Connectez-vous à la console IAM AWS Management Console et ouvrez-la à https://console.aws.amazon.com/iam/l'adresse.

2. Dans le volet de navigation de la console IAM, sélectionnez Roles (Rôles), puis Create role (Créer un rôle).

3. Pour Trusted entity (Entité de confiance), choisissez Service AWS.

4. Pour Service ou cas d'utilisation, choisissez Elastic Container Service, puis choisissez le EC2 rôle pour le cas d'utilisation d'Elastic Container Service.

5. Choisissez Suivant.

6. Dans la section Politiques d'autorisations, vérifiez que la politique Amazon EC2 ContainerServicefor EC2 Role est sélectionnée.

   Important

   La politique gérée par Amazon EC2 ContainerServicefor EC2 Role doit être attachée au rôle IAM de l'instance de conteneur, sinon vous recevrez une erreur en utilisant le AWS Management Console pour créer des clusters.

7. Choisissez Suivant.

8. Pour Nom du rôle, entrez ecsInstanceRole

9. Passez en revue les informations du rôle, puis choisissez Create role (Créer un rôle).

1. Créez un fichier nommé instance-role-trust-policy.json avec le contenu suivant.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": { "Service": "ec2.amazonaws.com"},
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. Utilisez la commande suivante pour créer le rôle IAM d'instance à l'aide du document de politique de confiance.

   aws iam create-role \
       --role-name ecsInstanceRole \
       --assume-role-policy-document file://instance-role-trust-policy.json

3. Créez un profil d'instance nommé ecsInstanceRole-profile à l'aide de la create-instance-profilecommande.

   aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

   Exemple de réponse

   {
       "InstanceProfile": {
           "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE",
           "Roles": [],
           "CreateDate": "2022-04-12T23:53:34.093Z",
           "InstanceProfileName": "ecsInstanceRole-profile",
           "Path": "/",
           "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile"
       }
   }

4. Ajoutez le rôle ecsInstanceRole au profil d’instance ecsInstanceRole-profile.

   aws iam add-role-to-instance-profile \
       --instance-profile-name ecsInstanceRole-profile \
       --role-name ecsInstanceRole

5. Associez la politique AmazonEC2ContainerServiceRoleForEC2Role gérée au rôle à l'aide de la commande suivante.

   aws iam attach-role-policy \
       --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \
       --role-name ecsInstanceRole

Pour utiliser l’éditeur de politique JSON afin de créer une politique

1. Connectez-vous à la console IAM AWS Management Console et ouvrez-la à https://console.aws.amazon.com/iam/l'adresse.

2. Dans le panneau de navigation de gauche, sélectionnez Policies (Politiques).

   Si vous sélectionnez Politiques pour la première fois, la page Bienvenue dans les politiques gérées s’affiche. Sélectionnez Mise en route.

3. En haut de la page, sélectionnez Créer une politique.

4. Dans la section Éditeur de politique, choisissez l’option JSON.

5. Entrez le document de politique JSON suivant :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

6. Choisissez Suivant.

   Note

   Vous pouvez basculer à tout moment entre les options des éditeurs visuel et JSON. Toutefois, si vous apportez des modifications ou si vous choisissez Suivant dans l’éditeur visuel, IAM peut restructurer votre politique afin de l’optimiser pour l’éditeur visuel. Pour plus d’informations, consultez la page Restructuration de politique dans le Guide de l’utilisateur IAM.

7. Sur la page Vérifier et créer, saisissez un Nom de politique et une Description (facultative) pour la politique que vous créez. Vérifiez les Autorisations définies dans cette politique pour voir les autorisations accordées par votre politique.

8. Choisissez Create policy (Créer une politique) pour enregistrer votre nouvelle politique.

1. Créez un fichier nommé instance-cw-logs.json avec le contenu suivant.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

2. Utilisez la commande suivante pour créer la stratégie IAM à l'aide du fichier de document de stratégie JSON.

   aws iam create-policy \
         --policy-name cwlogspolicy \
         --policy-document file://instance-cw-logs.json

3. Récupérez l'ARN de la politique IAM que vous avez créée à l'aide de la commande suivante. cwlogspolicyRemplacez-le par le nom de la politique que vous avez créée.

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cwlogspolicy`].Arn'

4. Utilisez la commande suivante pour associer la politique au rôle IAM de l'instance de conteneur à l'aide de l'ARN de la stratégie.

   aws iam attach-role-policy \
         --role-name ecsInstanceRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/cwlogspolicy