Amazon ECS 관리형 인스턴스의 인스턴스 프로파일

인스턴스 프로파일은 정확히 하나의 IAM 역할을 보유하며 Amazon ECS 관리형 인스턴스가 해당 역할을 안전하게 수임할 수 있도록 하는 IAM 컨테이너입니다. 인스턴스 프로파일에는 ECS 에이전트가 클러스터에 인스턴스를 등록하고 ECS 서비스와 통신하기 위해 수임하는 인스턴스 역할이 포함되어 있습니다.

신뢰 정책으로 역할 생성

IAM 콘솔의 사용자 지정 신뢰 정책 워크플로를 사용하여 역할을 생성할 수도 있습니다. 지침은 IAM 사용자 설명서의 사용자 지정 신뢰 정책을 사용하여 역할 생성(콘솔)을 참조하세요.

파일을 생성한 후 Amazon ECS로 역할을 전달할 수 있는 권한을 사용자에게 부여해야 합니다.

AWS CLI를 사용하여 인스턴스 프로파일 생성

역할을 생성한 후 AWS CLI를 사용하여 인스턴스 프로파일을 생성합니다.

aws iam create-instance-profile --instance-profile-name ecsInstanceRole 

인스턴스 프로파일에 역할을 추가합니다.

aws iam add-role-to-instance-profile \
   --instance-profile-name ecsInstanceRole \
   --role-name ecsInstanceRole 

프로파일이 생성되었는지 확인합니다.

aws iam get-instance-profile --instance-profile-name ecsInstanceRole 

CloudFormation을 사용하여 인스턴스 프로파일 생성

AWS CloudFormation을 사용하여 인스턴스 역할과 인스턴스 프로파일을 생성할 수 있습니다. AWS 관리형 인프라 정책 또는 사용자 지정 정책을 사용하는지 여부에 따라 다음 옵션 중 하나를 선택합니다.

옵션 1: ecsInstanceRole 명명 규칙 사용(권장)

AWS 관리형 인프라 정책을 사용하는 경우 명시적으로 RoleName을 ecsInstanceRole로 시작하는 값으로 설정해야 합니다. RoleName을 생략하면 CloudFormation이 관리형 정책의 iam:PassRole 조건과 일치하지 않는 이름을 자동으로 생성하며, 태스크는 시작되지 않습니다.

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: ecsInstanceRole
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      InstanceProfileName: ecsInstanceRole
      Roles:
        - !Ref EcsInstanceRole

옵션 2: 사용자 지정 역할 이름 사용

CloudFormation에서 역할 이름을 생성하도록 하거나 ecsInstanceRole로 시작하지 않는 사용자 지정 이름을 사용하는 경우 인스턴스 역할에 iam:PassRole을 부여하는 인라인 정책을 인프라 역할에 추가해야 합니다.

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      # No RoleName — CFN auto-generates
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Roles:
        - !Ref EcsInstanceRole

  EcsInfrastructureRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ecs.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInfrastructureRolePolicyForManagedInstances
      Policies:
        - PolicyName: PassInstanceRoleToEC2
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action: iam:PassRole
                Resource: !GetAtt EcsInstanceRole.Arn
                Condition:
                  StringLike:
                    iam:PassedToService: "ec2.*"

문제 해결

iam:PassRole 권한 부여 오류와 함께 태스크 실패

iam:PassRole을 언급하는 ResourceInitializationError와 함께 태스크가 실패하면 인스턴스 역할 이름이 ecsInstanceRole로 시작하는지 확인합니다. CloudFormation 콘솔의 스택 리소스 탭에서 자동으로 생성된 이름을 확인할 수 있습니다. 이름이 일치하지 않는 경우: