Amazon ECS マネージドインスタンスのインスタンスプロファイル

インスタンスプロファイルは、1 つの IAM ロールのみを保持し、Amazon ECS マネージドインスタンスがそのロールを安全に引き受けることを許可する IAM コンテナです。インスタンスプロファイルには、クラスターにインスタンスを登録し、ECS サービスと通信するために ECS エージェントが引き受けるインスタンスロールが含まれています。

信頼ポリシーでロールを作成する

IAM コンソールの[カスタム信頼ポリシー]ワークフローを使用してロールを作成することもできます。詳細については、「IAM ユーザーガイド」の「カスタム信頼ポリシーを使用してロールを作成する (コンソール)」を参照してください。

ファイルを作成したら、Amazon ECS にロールを渡すためのアクセス許可をユーザーに付与する必要があります。

AWS CLI を使用してインスタンスプロファイルを作成する

ロールを作成したら、AWS CLI を使用してインスタンスプロファイルを作成します。

aws iam create-instance-profile --instance-profile-name ecsInstanceRole 

次のように、インスタンスプロファイルにロールを追加します。

aws iam add-role-to-instance-profile \
   --instance-profile-name ecsInstanceRole \
   --role-name ecsInstanceRole 

プロファイルが正常に作成されたことを確認します。

aws iam get-instance-profile --instance-profile-name ecsInstanceRole 

CloudFormation を使用してインスタンスプロファイルを作成する

AWS CloudFormation を使用すると、インスタンスロールとインスタンスプロファイルを作成できます。AWS マネージドインフラストラクチャポリシーとカスタムポリシーのどちらを使用するかに基づいて、次のいずれかのオプションを選択します。

オプション 1: ecsInstanceRole 命名規則を使用する (推奨)

AWS マネージドインフラストラクチャポリシーを使用する場合は、RoleName を ecsInstanceRole で始まる値に明示的に設定する必要があります。RoleName を省略すると、CloudFormation はマネージドポリシーの iam:PassRole 条件に一致しない名前を自動生成し、タスクは起動に失敗します。

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: ecsInstanceRole
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      InstanceProfileName: ecsInstanceRole
      Roles:
        - !Ref EcsInstanceRole

オプション 2: カスタムロール名を使用する

CloudFormation でロール名を生成する場合、または ecsInstanceRole で始まらないカスタム名を使用する場合は、iam:PassRole をインスタンスロールに付与するインフラストラクチャロールにインラインポリシーを追加する必要があります。

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      # No RoleName — CFN auto-generates
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Roles:
        - !Ref EcsInstanceRole

  EcsInfrastructureRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ecs.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInfrastructureRolePolicyForManagedInstances
      Policies:
        - PolicyName: PassInstanceRoleToEC2
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action: iam:PassRole
                Resource: !GetAtt EcsInstanceRole.Arn
                Condition:
                  StringLike:
                    iam:PassedToService: "ec2.*"

トラブルシューティング

タスクが iam:PassRole 認証エラーで失敗する

タスクが iam:PassRole に言及している ResourceInitializationError で失敗する場合は、インスタンスロール名が ecsInstanceRole で始まることを確認します。自動生成された名前は、スタックの [リソース] タブの CloudFormation コンソールで確認できます。名前が一致しない場合は、次のいずれかを実行します: