Izin Armada Spot

Untuk membuat kebijakan Armada Spot

1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi, pilih Kebijakan, Buat kebijakan.

3. Di halaman Buat kebijakan, pilih JSON, dan ganti teks dengan yang berikut ini.

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:RunInstances",
                   "ec2:CreateTags",
                   "ec2:RequestSpotFleet",
                   "ec2:ModifySpotFleetRequest",
                   "ec2:CancelSpotFleetRequests",
                   "ec2:DescribeSpotFleetRequests",
                   "ec2:DescribeSpotFleetInstances",
                   "ec2:DescribeSpotFleetRequestHistory"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": "arn:aws:iam::*:role/aws-ec2-spot-fleet-tagging-role"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "iam:CreateServiceLinkedRole",
                   "iam:ListRoles",
                   "iam:ListInstanceProfiles"
               ],
               "Resource": "*"
           }
       ]
   }
   

   Contoh kebijakan sebelumnya memberikan izin yang diperlukan kepada pengguna untuk sebagian besar kasus penggunaan Armada Spot. Untuk membatasi pengguna ke tindakan API tertentu, tentukan hanya tindakan API tersebut saja.

   API EC2 dan IAM yang diperlukan

   API berikut harus disertakan dalam kebijakan:

   • ec2:RunInstances – Diperlukan untuk meluncurkan instans di Armada Spot

   • ec2:CreateTags – Diperlukan untuk menandai permintaan, instans, atau volume Armada Spot

   • iam:PassRole – Diperlukan untuk menentukan peran Armada Spot

   • iam:CreateServiceLinkedRole – Diperlukan untuk membuat peran tertaut-layanan

   • iam:ListRoles – Diperlukan untuk melakukan enumerasi peran IAM yang ada

   • iam:ListInstanceProfiles – Diperlukan untuk melakukan enumerasi profil instans yang sudah ada

   penting

   Jika Anda menentukan peran untuk profil instans IAM dalam spesifikasi peluncuran atau templat peluncuran, Anda harus memberikan izin kepada pengguna untuk meneruskan peran tersebut ke layanan. Untuk melakukan ini, dalam kebijakan IAM sertakan "arn:aws:iam::*:role/IamInstanceProfile-role" sebagai sumber daya untuk tindakan iam:PassRole. Untuk informasi selengkapnya, lihat Memberikan izin pengguna untuk meneruskan peran ke AWS layanan di Panduan Pengguna IAM.

   API Armada Spot

   Tambahkan tindakan API Armada Spot berikut ke kebijakan Anda, jika diperlukan:

   • ec2:RequestSpotFleet

   • ec2:ModifySpotFleetRequest

   • ec2:CancelSpotFleetRequests

   • ec2:DescribeSpotFleetRequests

   • ec2:DescribeSpotFleetInstances

   • ec2:DescribeSpotFleetRequestHistory

   API IAM opsional

   (Opsional) Untuk memungkinkan pengguna membuat peran atau profil instans menggunakan konsol IAM, Anda juga harus menambahkan tindakan berikut ke kebijakan:

   • iam:AddRoleToInstanceProfile

   • iam:AttachRolePolicy

   • iam:CreateInstanceProfile

   • iam:CreateRole

   • iam:GetRole

   • iam:ListPolicies

4. Pilih Tinjau kebijakan.

5. Pada halaman Tinjau kebijakan, masukkan nama dan deskripsi kebijakan, dan pilih Buat kebijakan.

6. Untuk memberikan akses dan menambahkan izin bagi pengguna, grup, atau peran Anda:

   • Pengguna dan grup di AWS IAM Identity Center:

     Buat rangkaian izin. Ikuti instruksi di Buat rangkaian izin dalam Panduan Pengguna AWS IAM Identity Center .

   • Pengguna yang dikelola di IAM melalui penyedia identitas:

     Buat peran untuk federasi identitas. Ikuti instruksi dalam Buat peran untuk penyedia identitas pihak ketiga (federasi) dalam Panduan Pengguna IAM.

   • Pengguna IAM:

     • Buat peran yang dapat diambil pengguna Anda. Ikuti instruksi dalam Buat peran untuk pengguna IAM dalam Panduan Pengguna IAM.

     • (Tidak disarankan) Lampirkan kebijakan langsung ke pengguna atau tambahkan pengguna ke grup pengguna. Ikuti petunjuk dalam Menambahkan izin ke pengguna (konsol) dalam Panduan Pengguna IAM.

Untuk membuat AWSServiceRoleForEC2SpotFleet peran untuk Spot Fleet menggunakan konsol

1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi, pilih Peran.

3. Pilih Buat peran.

4. Pada halaman Pilih entitas tepercaya, lakukan hal berikut:

   1. Untuk Ti pe entitas tepercaya, pilih AWS layanan.

   2. Di bawah Kasus penggunaan, untuk Layanan atau kasus penggunaan, pilih EC2.

   3. Untuk kasus penggunaan, pilih EC2 - Spot Fleet.

      catatan

      Kas us penggunaan EC2 - Spot Fleet akan secara otomatis membuat kebijakan dengan izin IAM yang diperlukan dan akan menyarankan AWSEC2SpotFleetServiceRolePolicy sebagai nama peran.

   4. Pilih Berikutnya.

5. Pada halaman Tambahkan izin, pilih Berikutnya.

6. Pada halaman Nama, ulasan, dan buat, pilih Buat peran.

Untuk memberikan izin AWSServiceRoleForEC2SpotFleet peran untuk menggunakan CMK

• Gunakan perintah create-grant untuk menambahkan hibah ke CMK dan untuk menentukan prinsipal (peran terkait layanan Ar AWSServiceRoleForEC2Spot mada) yang diberi izin untuk melakukan operasi yang diizinkan oleh hibah. CMK ditentukan oleh parameter key-id dan ARN CMK. Prinsip ditentukan oleh grantee-principal parameter dan ARN dari peran terkait AWSServiceRoleForEC2Spot layanan Armada.

  aws kms create-grant \
      --region us-east-1 \
      --key-id arn:aws:kms:us-east-1:444455556666:key/1234abcd-12ab-34cd-56ef-1234567890ab \
      --grantee-principal arn:aws:iam::111122223333:role/aws-service-role/spotfleet.amazonaws.com/AWSServiceRoleForEC2SpotFleet \
      --operations "Decrypt" "Encrypt" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "CreateGrant" "DescribeKey" "ReEncryptFrom" "ReEncryptTo"

Guna membuat peran IAM untuk menandai Armada Spot

1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi, pilih Peran.

3. Pilih Buat peran.

4. Pada halaman Pilih entitas tepercaya, di bawah Tipe entitas tepercaya, pilih Layanan AWS .

5. Di bawah Kasus penggunaan, dari Kasus penggunaan untuk layanan AWS lain, pilih EC2, lalu pilih EC2 - Penandaan Armada Spot.

6. Pilih Berikutnya.

7. Pada halaman Tambahkan izin, pilih Berikutnya.

8. Pada Nama, tinjau, dan buat, untuk Nama peran, masukkan nama untuk peran (misalnya, aws-ec2-spot-fleet-tagging-role).

9. Tinjau informasi di halaman tersebut, lalu pilih Buat peran.

Untuk menambahkan kunci SourceAccount kondisi aws: SourceArn dan aws: ke kebijakan kepercayaan aws-ec 2-spot-fleet-tagging-role

1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi, pilih Peran.

3. Temukan aws-ec2-spot-fleet-tagging-role yang Anda buat sebelumnya dan pilih tautan (bukan kotak centang).

4. Di bawah Ringkasan, pilih tab Hubungan kepercayaan, lalu pilih Edit kebijakan kepercayaan.

5. Dalam pernyataan JSON, tambahkan elemen Condition yang berisi kunci konteks kondisi global aws:SourceAccount dan aws:SourceArn untuk mencegah masalah confused deputy, sebagai berikut:

   "Condition": {
         "ArnLike": {
           "aws:SourceArn": "arn:aws:ec2:us-east-1:111122223333:spot-fleet-request/sfr-*"
         },
         "StringEquals": {
           "aws:SourceAccount": "111122223333"
         }

   catatan

   Jika nilai aws:SourceArn berisi ID akun Anda dan Anda menggunakan kedua kunci konteks kondisi global tersebut, nilai aws:SourceAccount dan akun di nilai aws:SourceArn harus menggunakan ID akun yang sama saat digunakan dalam pernyataan kebijakan yang sama.

   Kebijakan kepercayaan terakhir adalah sebagai berikut:

   JSON

   {
     "Version":"2012-10-17",
     "Statement": {
       "Sid": "ConfusedDeputyPreventionExamplePolicy",
       "Effect": "Allow",
       "Principal": {
         "Service": "spotfleet.amazonaws.com"
       },
       "Action": "sts:AssumeRole",
       "Condition": {
         "ArnLike": {
           "aws:SourceArn": "arn:aws:ec2:us-east-1:111122223333:spot-fleet-request/sfr-*"
         },
         "StringEquals": {
           "aws:SourceAccount": "111122223333"
         }
       }
     }
   }
   

6. Pilih Perbarui kebijakan.