Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

IAMPeran ECS tugas Amazon

ECSTugas Amazon Anda dapat memiliki IAM peran yang terkait dengannya. Izin yang diberikan dalam IAM peran diasumsikan oleh kontainer yang berjalan dalam tugas. Peran ini memungkinkan kode aplikasi Anda (pada wadah) untuk menggunakan AWS layanan lain. Peran tugas diperlukan saat aplikasi Anda mengakses AWS layanan lain, seperti Amazon S3. Untuk IAM izin yang ECS dibutuhkan Amazon untuk menarik gambar kontainer dan menjalankan tugas, lihatIAMPeran eksekusi ECS tugas Amazon.

Berikut ini adalah manfaat menggunakan peran tugas:

Membuat IAM peran tugas

Saat membuat IAM kebijakan untuk tugas Anda untuk menggunakan, kebijakan tersebut harus menyertakan izin yang ingin Anda tanggung oleh kontainer dalam tugas Anda. Anda dapat menggunakan kebijakan AWS terkelola yang ada, atau Anda dapat membuat kebijakan khusus dari awal yang memenuhi kebutuhan spesifik Anda. Untuk informasi selengkapnya, lihat Membuat IAM kebijakan di Panduan IAM Pengguna.

Setelah IAM kebijakan dibuat, Anda dapat membuat IAM peran yang menyertakan kebijakan yang Anda referensikan dalam definisi ECS tugas Amazon. Anda dapat membuat peran menggunakan kasus penggunaan Tugas Kontainer Elastis di IAM konsol. Kemudian, Anda dapat melampirkan IAM kebijakan spesifik Anda ke dalam peran tersebut, yang akan memberikan izin sesuai keinginan Anda kepada kontainer dalam tugas Anda. Prosedur di bawah menjelaskan cara melakukannya.

Jika Anda memiliki beberapa ketentuan tugas atau layanan yang memerlukan IAM izin, Anda harus mempertimbangkan untuk membuat peran untuk setiap ketentuan tugas tertentu atau layanan dengan izin minimum yang diperlukan untuk tugas untuk beroperasi sehingga Anda dapat meminimalkan akses yang Anda berikan untuk setiap tugas.

Untuk informasi tentang titik akhir layanan untuk Wilayah Anda, lihat Titik akhir layanan di Panduan.Referensi Umum Amazon Web

Peran IAM tugas harus memiliki kebijakan kepercayaan yang menentukan ecs-tasks.amazonaws.com layanan. sts:AssumeRoleIzin tersebut memungkinkan tugas Anda untuk mengambil IAM peran yang berbeda dari yang digunakan EC2 instans Amazon. Dengan cara ini, tugas Anda tidak mewarisi peran yang terkait dengan EC2 instans Amazon. Berikut ini adalah contoh kebijakan. Ganti pengenal Wilayah dan tentukan nomor AWS akun yang Anda gunakan saat meluncurkan tugas.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service":[
               "ecs-tasks.amazonaws.com"
            ]
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "ArnLike":{
            "aws:SourceArn":"arn:aws:ecs:us-west-2:111122223333:*"
            },
            "StringEquals":{
               "aws:SourceAccount":"111122223333"
            }
         }
      }
   ]
}

Prosedur berikut menjelaskan cara membuat kebijakan untuk mengambil objek dari Amazon S3 dengan kebijakan contoh. Ganti Semua user input dengan nilai-nilai milik Anda sendiri.

AWS Management Console

Untuk menggunakan editor JSON kebijakan dalam pembuatan kebijakan

1. Masuk ke AWS Management Console dan buka IAM konsol di https://console.aws.amazon.com/iam/.

2. Pada panel navigasi di sebelah kiri, pilih Kebijakan.

   Jika ini pertama kalinya Anda memilih Kebijakan, akan muncul halaman Selamat Datang di Kebijakan Terkelola. Pilih Memulai.

3. Di bagian atas halaman, pilih Buat kebijakan.

4. Di bagian Editor kebijakan, pilih JSONopsi.

5. Masukkan dokumen JSON kebijakan berikut:

   {
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Action":[
               "s3:GetObject"
            ],
            "Resource":[
               "arn:aws:s3:::my-task-secrets-bucket/*"
            ],
            "Condition":{
               "ArnLike":{
               "aws:SourceArn":"arn:aws:ecs:region:123456789012:*"
               },
               "StringEquals":{
                  "aws:SourceAccount":"123456789012"
               }
            }
         }
      ]
   }

6. Pilih Berikutnya.

   catatan

   Anda dapat beralih antara opsi Visual dan JSONeditor kapan saja. Namun, jika Anda membuat perubahan atau memilih Next (Berikutnya) di Visual editor (Editor visual), IAM mungkin merestrukturisasi kebijakan Anda untuk mengoptimalkannya untuk editor visual. Untuk informasi selengkapnya, lihat Restrukturisasi kebijakan di IAMPanduan Pengguna.

7. Pada halaman Tinjau dan buat, masukkan Nama kebijakan dan Deskripsi (opsional) untuk kebijakan yang Anda buat. Tinjau Izin yang ditentukan dalam kebijakan ini untuk melihat izin yang diberikan oleh kebijakan Anda.

8. Pilih Buat kebijakan untuk menyimpan kebijakan baru Anda.

AWS CLI

Ganti Semua user input dengan nilai-nilai milik Anda sendiri.

1. Buat file bernama s3-policy.json dengan konten berikut.

   {
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Action":[
               "s3:GetObject"
            ],
            "Resource":[
               "arn:aws:s3:::my-task-secrets-bucket/*"
            ],
            "Condition":{
               "ArnLike":{
               "aws:SourceArn":"arn:aws:ecs:region:123456789012:*"
               },
               "StringEquals":{
                  "aws:SourceAccount":"123456789012"
               }
            }
         }
      ]
   }

2. Gunakan perintah berikut untuk membuat IAM kebijakan menggunakan file dokumen JSON kebijakan.

   aws iam create-policy \
         --policy-name taskRolePolicy \
         --policy-document file://s3-policy.json

Prosedur berikut menjelaskan cara membuat IAM peran tugas dengan melampirkan IAM kebijakan yang Anda buat.

AWS Management Console

Untuk membuat peran layanan untuk Elastic Container Service (IAMkonsol)

1. Masuk ke AWS Management Console dan buka IAM konsol di https://console.aws.amazon.com/iam/.

2. Di panel navigasi IAM konsol, pilih Peran, dan lalu pilih Buat peran.

3. Untuk jenis entitas Tepercaya, pilih Layanan AWS.

4. Untuk Service atau use case, pilih Elastic Container Service, lalu pilih kasus penggunaan Elastic Container Service Task.

5. Pilih Berikutnya.

6. Untuk Menambahkan izin, cari dan pilih kebijakan yang Anda buat.

7. Pilih Berikutnya.

8. Untuk Nama peran, masukkan nama peran Anda. Untuk contoh ini, ketik AmazonECSTaskS3BucketRole untuk memberi nama peran.

9. Tinjau peran lalu pilih Buat peran.

AWS CLI

Ganti Semua user input dengan nilai-nilai milik Anda sendiri.

1. Buat file ecs-tasks-trust-policy.json yang berisi kebijakan kepercayaan yang akan digunakan untuk IAM peran tugas. File harus berisi hal-hal berikut ini. Ganti pengenal Wilayah dan tentukan nomor AWS akun yang Anda gunakan saat meluncurkan tugas.

   {
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Principal":{
               "Service":[
                  "ecs-tasks.amazonaws.com"
               ]
            },
            "Action":"sts:AssumeRole",
            "Condition":{
               "ArnLike":{
               "aws:SourceArn":"arn:aws:ecs:us-west-2:111122223333:*"
               },
               "StringEquals":{
                  "aws:SourceAccount":"111122223333"
               }
            }
         }
      ]
   }

2. Buat IAM peran yang dinamai ecsTaskRole menggunakan kebijakan kepercayaan yang dibuat pada langkah sebelumnya.

   aws iam create-role \
         --role-name ecsTaskRole \
         --assume-role-policy-document file://ecs-tasks-trust-policy.json

3. Ambil IAM kebijakan ARN yang Anda buat menggunakan perintah berikut. Ganti taskRolePolicy dengan nama kebijakan yang Anda buat.

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`taskRolePolicy`].Arn'

4. Lampirkan IAM kebijakan yang Anda buat ke ecsTaskRole peran tersebut. Ganti policy-arn dengan ARN kebijakan yang Anda buat.

   aws iam attach-role-policy \
         --role-name ecsTaskRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/taskRolePolicy

Setelah Anda membuat peran, tambahkan izin tambahan ke peran untuk fitur berikut.

ECSIzin Exec

Fitur ECSExec memerlukan IAM peran tugas untuk memberikan kontainer izin yang diperlukan untuk komunikasi antara SSM agen terkelola (execute-commandagen) dan layanan. SSM Anda harus menambahkan izin berikut ke peran tugas dan menyertakan IAM IAM peran tugas dalam ketentuan tugas Anda. Untuk informasi selengkapnya, lihat Menambahkan dan Menghapus IAM Kebijakan di Panduan IAM Pengguna.

Gunakan kebijakan berikut untuk IAM peran tugas Anda guna menambahkan SSM izin yang diperlukan.

{
   "Version": "2012-10-17",
   "Statement": [
       {
       "Effect": "Allow",
       "Action": [
            "ssmmessages:CreateControlChannel",
            "ssmmessages:CreateDataChannel",
            "ssmmessages:OpenControlChannel",
            "ssmmessages:OpenDataChannel"
       ],
      "Resource": "*"
      }
   ]
}

Amazon membuat EC2 instans konfigurasi tambahan

Kami merekomendasikan Anda untuk membatasi izin dalam peran instans kontainer Anda hingga daftar izin minimal yang digunakan dalam kebijakan AmazonEC2ContainerServiceforEC2Role terkelolaIAM.

EC2Instans Amazon Anda memerlukan setidaknya agen kontainer versi 1.11.0 agen kontainer untuk menggunakan tugas role; namun, sebaiknya gunakan versi agen kontainer terbaru. Untuk informasi tentang memeriksa versi agen Anda dan memperbarui ke versi terbaru, lihat Memperbarui agen ECS penampung Amazon. Jika Anda menggunakan Amazon ECS -optimizedAMI, instans Anda memerlukan setidaknya 1.11.0-1 ecs-init paket. Jika instans Anda menggunakan Amazon ECS -optimalkan terbaruAMI, maka instans kontainer berisi versi agen kontainer yang diperlukan. ecs-init Untuk informasi selengkapnya, lihat Linux yang ECS dioptimalkan Amazon AMIs.

Jika Anda tidak menggunakan Amazon ECS -optimized AMI untuk instance container Anda, tambahkan --net=host opsi ke docker run perintah Anda yang memulai agen dan variabel konfigurasi agen berikut untuk konfigurasi yang Anda inginkan (untuk informasi selengkapnya, lihatKonfigurasi agen ECS kontainer Amazon):

Untuk contoh run command, lihat Memperbarui agen ECS penampung Amazon secara manual (untuk non-Amazon ECS AMIs -Optimized). Anda juga akan perlu mengatur perintah jaringan berikut pada instans kontainer Anda sehingga kontainer dalam tugas Anda dapat mengambil AWS kredensialnya:

sudo sysctl -w net.ipv4.conf.all.route_localnet=1
sudo iptables -t nat -A PREROUTING -p tcp -d 169.254.170.2 --dport 80 -j DNAT --to-destination 127.0.0.1:51679
sudo iptables -t nat -A OUTPUT -d 169.254.170.2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 51679

Anda harus menyimpan aturan iptables ini pada instans kontainer Anda agar dapat bertahan saat booting ulang. Anda dapat menggunakan perintah iptables-save dan iptables-restore untuk menyimpan aturan iptables dan memulihkannya saat booting. Untuk informasi selengkapnya, konsultasikan dokumentasi sistem operasi tertentu Anda.

Untuk mencegah kontainer yang dijalankan oleh tugas yang menggunakan mode awsvpc jaringan dari mengakses informasi kredensi yang diberikan ke profil EC2 instans Amazon, ketika masih mengizinkan izin yang disediakan oleh peran tugas, atur variabel konfigurasi ECS_AWSVPC_BLOCK_IMDS agen ke true dalam file konfigurasi agen dan mulai ulang agen. Untuk informasi selengkapnya, lihat Konfigurasi agen ECS kontainer Amazon.

Untuk mencegah kontainer yang dijalankan oleh tugas yang menggunakan mode bridge jaringan dari mengakses informasi kredensi yang diberikan ke profil EC2 instans Amazon, ketika masih mengizinkan izin yang disediakan oleh peran tugas, dengan menjalankan iptables perintah berikut di instans Amazon Anda. EC2 Perintah ini tidak memengaruhi kontainer dalam tugas-tugas yang menggunakan mode awsvpc jaringan host atau. Untuk informasi selengkapnya, lihat Mode jaringan.

Konfigurasi tambahan instans eksternal

Instans eksternal Anda memerlukan setidaknya agen kontainer versi 1.11.0 agen kontainer untuk menggunakan tugas IAM role; namun, sebaiknya gunakan versi agen kontainer terbaru. Untuk informasi tentang memeriksa versi agen Anda dan memperbarui ke versi terbaru, lihat Memperbarui agen ECS penampung Amazon. Jika Anda menggunakan Amazon yang ECS dioptimalkanAMI, instans Anda membutuhkan setidaknya 1.11.0-1 ecs-init paket. Jika instans Anda menggunakan Amazon ECS -optimalkan terbaruAMI, maka instans kontainer berisi versi agen kontainer yang diperlukan. ecs-init Untuk informasi selengkapnya, lihat Linux yang ECS dioptimalkan Amazon AMIs.

Jika Anda tidak menggunakan Amazon ECS -optimized AMI untuk instance container Anda, tambahkan --net=host opsi ke docker run perintah Anda yang memulai agen dan variabel konfigurasi agen berikut untuk konfigurasi yang Anda inginkan (untuk informasi selengkapnya, lihatKonfigurasi agen ECS kontainer Amazon):

Untuk contoh run command, lihat Memperbarui agen ECS penampung Amazon secara manual (untuk non-Amazon ECS AMIs -Optimized). Anda juga akan perlu mengatur perintah jaringan berikut pada instans kontainer Anda sehingga kontainer dalam tugas Anda dapat mengambil AWS kredensialnya:

sudo sysctl -w net.ipv4.conf.all.route_localnet=1
sudo iptables -t nat -A PREROUTING -p tcp -d 169.254.170.2 --dport 80 -j DNAT --to-destination 127.0.0.1:51679
sudo iptables -t nat -A OUTPUT -d 169.254.170.2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 51679

Anda harus menyimpan aturan iptables ini pada instans kontainer Anda agar dapat bertahan saat booting ulang. Anda dapat menggunakan perintah iptables-save dan iptables-restore untuk menyimpan aturan iptables dan memulihkannya saat booting. Untuk informasi selengkapnya, konsultasikan dokumentasi sistem operasi tertentu Anda.

Konfigurasi tambahan instans Amazon EC2 Windows

Peran tugas dengan fitur Windows memerlukan konfigurasi tambahan aktifEC2.

Skrip bootstrap ECS wadah Amazon

Sebelum kontainer dapat mengakses proxy kredensial pada instans kontainer untuk mendapatkan kredensial, kontainer harus di-bootstrap dengan perintah jaringan yang diperlukan. Skrip contoh kode berikut harus dijalankan pada kontainer Anda ketika dimulai.

Jika Anda menjalankan wadah Windows yang menyertakan Powershell, maka gunakan skrip berikut:

# Copyright Amazon.com Inc. or its affiliates. All Rights Reserved.
#
# Licensed under the Apache License, Version 2.0 (the "License"). You may
# not use this file except in compliance with the License. A copy of the
# License is located at
#
#	http://aws.amazon.com/apache2.0/
#
# or in the "license" file accompanying this file. This file is distributed
# on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either
# express or implied. See the License for the specific language governing
# permissions and limitations under the License.
 
$gateway = (Get-NetRoute | Where { $_.DestinationPrefix -eq '0.0.0.0/0' } | Sort-Object RouteMetric | Select NextHop).NextHop
$ifIndex = (Get-NetAdapter -InterfaceDescription "Hyper-V Virtual Ethernet*" | Sort-Object | Select ifIndex).ifIndex
New-NetRoute -DestinationPrefix 169.254.170.2/32 -InterfaceIndex $ifIndex -NextHop $gateway -PolicyStore ActiveStore # credentials API
New-NetRoute -DestinationPrefix 169.254.169.254/32 -InterfaceIndex $ifIndex -NextHop $gateway -PolicyStore ActiveStore # metadata API

Jika Anda menjalankan wadah Windows yang hanya memiliki shell Command, maka gunakan skrip berikut:

# Copyright Amazon.com Inc. or its affiliates. All Rights Reserved.
#
# Licensed under the Apache License, Version 2.0 (the "License"). You may
# not use this file except in compliance with the License. A copy of the
# License is located at
#
#	http://aws.amazon.com/apache2.0/
#
# or in the "license" file accompanying this file. This file is distributed
# on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either
# express or implied. See the License for the specific language governing
# permissions and limitations under the License.
 
for /f "tokens=1" %i  in ('netsh interface ipv4 show interfaces ^| findstr /x /r ".*vEthernet.*"') do set interface=%i
for /f "tokens=3" %i  in ('netsh interface ipv4 show addresses %interface% ^| findstr /x /r ".*Default.Gateway.*"') do set gateway=%i
netsh interface ipv4 add route prefix=169.254.170.2/32 interface="%interface%" nexthop="%gateway%" store=active # credentials API
netsh interface ipv4 add route prefix=169.254.169.254/32 interface="%interface%" nexthop="%gateway%" store=active # metadata API