Função do IAM para aplicativos que são executados em EC2 instâncias da Amazon

Modo de foco

Função do IAM para aplicativos que são executados em EC2 instâncias da Amazon - Amazon EC2 Auto Scaling

Pré-requisitos Criar um modelo de inicialização Consulte também

Os aplicativos que são executados em EC2 instâncias da Amazon precisam de credenciais para acessar outras Serviços da AWS. Para fornecer essas credenciais de uma maneira segura, use um perfil do IAM. A função fornece permissões temporárias que a aplicação pode usar ao acessar outros recursos da AWS . As permissões da função determinam o que a aplicação tem permissão para fazer.

Para instâncias em um grupo do Auto Scaling, é necessário criar uma configuração de execução ou um modelo de execução e escolher um perfil de instância para associar às instâncias. Um perfil de instância é um contêiner para uma função do IAM que permite EC2 à Amazon passar a função do IAM para uma instância quando a instância é executada. Primeiro, crie uma função do IAM que tenha todas as permissões necessárias para acessar os AWS recursos. Depois, crie o perfil da instância e atribua a função a ele.

nota

Como prática recomendada, é altamente recomendável que você crie a função para que ela tenha as permissões mínimas para outras Serviços da AWS que seu aplicativo exige.

Conteúdo

Pré-requisitos

Crie a função do IAM que seu aplicativo executado na Amazon EC2 pode assumir. Escolha as permissões apropriadas para que a aplicação que receber a função possa fazer as chamadas de API específicas necessárias.

Se você usa o console do IAM em vez do AWS CLI ou um dos AWS SDKs, o console cria um perfil de instância automaticamente e dá a ele o mesmo nome da função à qual ele corresponde.

Para criar um perfil do IAM (console)

Abra o console do IAM em https://console.aws.amazon.com/iam/.
No painel de navegação à esquerda, escolha Roles (Funções).
Selecione Criar perfil.
Em Select trusted entity (Selecionar entidade confiável), escolha AWS Service (Serviço).
Para seu caso de uso, escolha EC2e, em seguida, escolha Avançar.
Se possível, selecione a política a ser usada para a política de permissões ou escolha Create policy (Criar política) para abrir uma nova guia no navegador e criar uma nova política a partir do zero. Para obter mais informações, consulte Creating IAM policies (Criar políticas do IAM) no IAM User Guide (Guia do usuário do IAM). Depois de criar a política, feche essa guia e retorne à guia original. Marque a caixa de seleção ao lado das políticas de permissões que você deseja que o serviço tenha.
(Opcional) Defina um limite de permissões. Este é um recurso avançado que está disponível para funções de serviço. Para obter mais informações sobre limites de permissões, consulte Limites de permissões para identidades do IAM no Guia do usuário do IAM.
Escolha Próximo.
Na página Name, review, and create (Nomear, revisar e criar), em Role name (Nome do perfil), insira um nome de função para ajudar você a identificar a finalidade desse perfil. Esse nome deve ser exclusivo em sua Conta da AWS. Como outros AWS recursos podem fazer referência à função, você não pode editar o nome da função após sua criação.
Reveja a função e escolha Criar função.

permissões do IAM

Use uma política baseada em identidade do IAM para controlar o acesso ao novo perfil do IAM. A permissão iam:PassRole é necessária na identidade do IAM (usuário ou perfil) que cria ou atualiza um grupo do Auto Scaling usando um modelo de execução que especifica um perfil de instância.

O exemplo de política a seguir concede permissões para passar somente perfis do IAM cujo nome comece com qateam-.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/qateam-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ec2.amazonaws.com",
                        "ec2.amazonaws.com.rproxy.goskope.com.cn"
                    ]
                }
            }
        }
    ]
}

Importante

Para obter informações sobre como o Amazon EC2 Auto Scaling valida as permissões para a iam:PassRole ação de um grupo de Auto Scaling que usa um modelo de lançamento, consulte. Validação de permissões para ec2:RunInstances e iam:PassRole

Criar um modelo de inicialização

Ao criar o modelo de execução usando o AWS Management Console, na seção Detalhes avançados, selecione a função no perfil da instância do IAM. Para obter mais informações, consulte Criar um modelo de execução usando configurações avançadas.

Ao criar o modelo de execução usando o create-launch-templatecomando do AWS CLI, especifique o nome do perfil da instância da sua função do IAM, conforme mostrado no exemplo a seguir.


aws ec2 create-launch-template --launch-template-name my-lt-with-instance-profile --version-description version1 \
--launch-template-data '{"ImageId":"ami-04d5cc9b88example","InstanceType":"t2.micro","IamInstanceProfile":{"Name":"my-instance-profile"}}'