Crea un ruolo di scheduler

Modalità Focus

Crea un ruolo di scheduler - AWS Servizio di iniezione dei guasti

Un ruolo di esecuzione è un ruolo IAM che, per interagire con lo scheduler, AWS FIS si assume che lo EventBridge scheduler di Event Bridge avvii FIS Experiment. A questo ruolo si allegano politiche di autorizzazione per concedere a EventBridge Scheduler l'accesso per richiamare FIS Experiment. I passaggi seguenti descrivono come creare un nuovo ruolo di esecuzione e una politica per consentire l'avvio EventBridge di un esperimento.

Crea un ruolo di scheduler utilizzando la CLI di AWS

Questo è il ruolo IAM necessario affinché Event Bridge sia in grado di pianificare l'esperimento per conto del cliente.

Copia la seguente policy JSON per assumere il ruolo e salvala localmente comefis-execution-role.json. Questa politica di fiducia consente a EventBridge Scheduler di assumere il ruolo per tuo conto.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "scheduler.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Da AWS Command Line Interface (AWS CLI), inserisci il seguente comando per creare un nuovo ruolo. Sostituiscilo FisSchedulerExecutionRole con il nome che desideri assegnare a questo ruolo.


aws iam create-role --role-name FisSchedulerExecutionRole --assume-role-policy-document file://fis-execution-role.json

In caso di successo, verrà visualizzato il seguente risultato:


{
    "Role": {
        "Path": "/",
        "RoleName": "FisSchedulerExecutionRole",
        "RoleId": "AROAZL22PDN5A6WKRBQNU",
        "Arn": "arn:aws:iam::123456789012:role/FisSchedulerExecutionRole",
        "CreateDate": "2023-08-24T17:23:05+00:00",
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "scheduler.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole"
                }
            ]
        }
    }
}

Per creare una nuova policy che consenta a EventBridge Scheduler di richiamare l'esperimento, copia il seguente codice JSON e salvalo localmente come. fis-start-experiment-permissions.json La seguente politica consente a EventBridge Scheduler di richiamare l'fis:StartExperimentazione su tutti i modelli di esperimento presenti nel tuo account. Sostituisci * alla fine di "arn:aws:fis:*:*:experiment-template/*" con l'ID del tuo modello di esperimento se desideri limitare il ruolo a un singolo modello di esperimento.
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "fis:StartExperiment",
            "Resource": [
                "arn:aws:fis:*:*:experiment-template/*",
                "arn:aws:fis:*:*:experiment/*"
            ]
        }
    ]
}
                
```

Esegui il comando seguente per creare la nuova politica di autorizzazione. Sostituisci FisSchedulerPolicy con il nome che desideri assegnare a questa politica.


aws iam create-policy --policy-name FisSchedulerPolicy --policy-document file://fis-start-experiment-permissions.json

In caso di successo, verrà visualizzato il seguente risultato. Nota la politica ARN. Utilizzerai questo ARN nella fase successiva per associare la politica al nostro ruolo di esecuzione.


{
    "Policy": {
        "PolicyName": "FisSchedulerPolicy",
        "PolicyId": "ANPAZL22PDN5ESVUWXLBD",
        "Arn": "arn:aws:iam::123456789012:policy/FisSchedulerPolicy",
        "Path": "/",
        "DefaultVersionId": "v1",
        "AttachmentCount": 0,
        "PermissionsBoundaryUsageCount": 0,
        "IsAttachable": true,
        "CreateDate": "2023-08-24T17:34:45+00:00",
        "UpdateDate": "2023-08-24T17:34:45+00:00"
    }
}

Esegui il comando seguente per allegare la policy al tuo ruolo di esecuzione. Sostituisci your-policy-arn con l'ARN della policy creata nel passaggio precedente. FisSchedulerExecutionRoleSostituiscilo con il nome del tuo ruolo di esecuzione.
```
aws iam attach-role-policy --policy-arn your-policy-arn --role-name FisSchedulerExecutionRole
```
L'attach-role-policyoperazione non restituisce una risposta sulla riga di comando.

È possibile limitare lo scheduler all'esecuzione solo di modelli di AWS FIS esperimenti con un valore di tag specifico. Ad esempio, la seguente politica concede l'fis:StartExperimentautorizzazione per tutti gli AWS FIS esperimenti, ma limita lo scheduler all'esecuzione solo di modelli di esperimenti con tag. Purpose=Schedule


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "fis:StartExperiment",
            "Resource": "arn:aws:fis:*:*:experiment/*"
        },
        {
            "Effect": "Allow",
            "Action": "fis:StartExperiment",
            "Resource": "arn:aws:fis:*:*:experiment-template/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Purpose": "Schedule"
                }
            }
        }
    ]
}