Peran IAM infrastruktur Amazon ECS - Amazon Elastic Container Service
Membuat peran infrastruktur Amazon ECS Izin untuk meneruskan peran infrastruktur ke Amazon ECS

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Peran IAM infrastruktur Amazon ECS

Peran IAM infrastruktur Amazon ECS memungkinkan Amazon ECS mengelola sumber daya infrastruktur di klaster Anda atas nama Anda, dan digunakan saat:

  • Anda ingin melampirkan volume Amazon EBS ke Fargate Anda EC2 atau meluncurkan tugas Amazon ECS jenis. Peran infrastruktur memungkinkan Amazon ECS mengelola volume Amazon EBS untuk tugas Anda.

  • Anda ingin menggunakan Transport Layer Security (TLS) untuk mengenkripsi lalu lintas antara layanan Amazon ECS Service Connect Anda.

  • Anda ingin membuat grup target Amazon VPC Lattice.

Ketika Amazon ECS mengasumsikan peran ini untuk mengambil tindakan atas nama Anda, acara akan terlihat di. AWS CloudTrail Jika Amazon ECS menggunakan peran untuk mengelola volume Amazon EBS yang dilampirkan ke tugas Anda, CloudTrail lognya roleSessionName akan menjadi. ECSTaskVolumesForEBS Jika peran digunakan untuk mengenkripsi lalu lintas antara layanan Service Connect Anda, CloudTrail log roleSessionName akan menjadiECSServiceConnectForTLS. Jika peran digunakan untuk membuat grup target untuk VPC Lattice, CloudTrail log roleSessionName akan menjadi. ECSNetworkingWithVPCLattice Anda dapat menggunakan nama ini untuk mencari peristiwa di CloudTrail konsol dengan memfilter nama Pengguna.

Amazon ECS menyediakan kebijakan terkelola yang berisi izin yang diperlukan untuk lampiran volume dan TLS. Untuk informasi selengkapnya, lihat Amazon ECSInfrastructure RolePolicyForVolumes, Amazon ECSInfrastructure RolePolicyForServiceConnectTransportLayerSecurity, dan Amazon ECSInfrastructure RolePolicyForVpcLattice di Panduan Referensi Kebijakan AWS Terkelola.

Membuat peran infrastruktur Amazon ECS

Ganti semua user input dengan informasi Anda sendiri.

  1. Buat file bernama ecs-infrastructure-trust-policy.json yang berisi kebijakan kepercayaan yang akan digunakan untuk peran IAM. File tersebut harus berisi hal berikut:

    {
  "Version": "2012-10-17", 
  "Statement": [ 
    {
      "Sid": "AllowAccessToECSForInfrastructureManagement", 
      "Effect": "Allow", 
      "Principal": {
        "Service": "ecs.amazonaws.com" 
      }, 
      "Action": "sts:AssumeRole" 
    } 
  ] 
}

  2. Gunakan AWS CLI perintah berikut untuk membuat peran ecsInfrastructureRole bernama menggunakan kebijakan kepercayaan yang Anda buat di langkah sebelumnya.

    aws iam create-role \
      --role-name ecsInfrastructureRole \
      --assume-role-policy-document file://ecs-infrastructure-trust-policy.json

  3. Bergantung pada kasus penggunaan Anda, lampirkan AmazonECSInfrastructureRolePolicyForVpcLattice kebijakan yang AWS dikelola AmazonECSInfrastructureRolePolicyForVolumesAmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity, atau ke ecsInfrastructureRole peran tersebut.

    aws iam attach-role-policy \
      --role-name ecsInfrastructureRole \
      --policy-arn arn:aws:iam::aws:policy/service-role/AmazonECSInfrastructureRolePolicyForVolumes
    aws iam attach-role-policy \
      --role-name ecsInfrastructureRole \
      --policy-arn arn:aws:iam::aws:policy/service-role/AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity

Anda juga dapat menggunakan alur kerja kebijakan kepercayaan kustom konsol IAM untuk membuat peran. Untuk informasi selengkapnya, lihat Membuat peran menggunakan kebijakan kepercayaan khusus (konsol) di Panduan Pengguna IAM.

penting

Jika peran infrastruktur ECS digunakan oleh Amazon ECS untuk mengelola volume Amazon EBS yang dilampirkan ke tugas Anda, pastikan hal berikut sebelum Anda menghentikan tugas yang menggunakan volume Amazon EBS.

  • Peran tidak dihapus.

  • Kebijakan kepercayaan untuk peran tersebut tidak dimodifikasi untuk menghapus akses Amazon ECS (ecs.amazonaws.com).

  • Kebijakan terkelola AmazonECSInfrastructureRolePolicyForVolumes tidak dihapus. Jika Anda harus mengubah izin peran, setidaknya pertahankan ec2:DetachVolumeec2:DeleteVolume, dan ec2:DescribeVolumes untuk penghapusan volume.

Menghapus atau memodifikasi peran sebelum menghentikan tugas dengan volume Amazon EBS terlampir akan mengakibatkan tugas macet DEPROVISIONING dan volume Amazon EBS terkait gagal dihapus. Amazon ECS akan secara otomatis mencoba lagi secara berkala untuk menghentikan tugas dan menghapus volume hingga izin yang diperlukan dipulihkan. Anda dapat melihat status lampiran volume tugas dan alasan status terkait dengan menggunakan DescribeTasksAPI.

Setelah Anda membuat file, Anda harus memberikan izin pengguna Anda untuk meneruskan peran ke Amazon ECS.

Izin untuk meneruskan peran infrastruktur ke Amazon ECS

Untuk menggunakan peran IAM infrastruktur ECS, Anda harus memberikan izin kepada pengguna untuk meneruskan peran tersebut ke Amazon ECS. Lampirkan iam:PassRole izin berikut ke pengguna Anda. Ganti ecsInfrastructureRole dengan nama peran infrastruktur yang Anda buat.

{
    "Version": "2012-10-17",
    "Statement": [
    
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": ["arn:aws:iam::*:role/ecsInfrastructureRole"],
            "Condition": {
                "StringEquals": {"iam:PassedToService": "ecs.amazonaws.com"}
            }
        }
    ]
}

Untuk informasi selengkapnya tentang iam:Passrole dan memperbarui izin untuk pengguna Anda, lihat Memberikan izin pengguna untuk meneruskan peran ke AWS layanan dan Mengubah izin untuk pengguna IAM di Panduan Pengguna.AWS Identity and Access Management