Amazon ECS容器執行個體IAM角色

建立 Elastic Container Service 的服務角色 (IAM 主控台）

1. 登入 AWS Management Console 並在 開啟IAM主控台https://console.aws.amazon.com/iam/。

2. 在 IAM 主控台的導覽窗格中，選擇 Roles (角色)，然後選擇 Create role (建立角色)。

3. 對於 Trusted entity type (信任的實體類型)，請選擇 AWS 服務。

4. 針對服務或使用案例，選擇彈性容器服務，然後選擇EC2彈性容器服務的角色使用案例。

5. 選擇 Next (下一步)。

6. 在許可政策區段中，確認已選取 AmazonEC2ContainerServiceforEC2Role 政策。

   重要

   AmazonEC2ContainerServiceforEC2Role 受管政策應連接至容器執行個體IAM角色，否則您會使用 AWS Management Console 來建立叢集，收到錯誤。

7. 選擇 Next (下一步)。

8. 針對角色名稱，輸入 ecsInstanceRole

9. 檢閱角色，然後選擇 Create role (建立角色)。

1. 建立稱為 instance-role-trust-policy.json 的檔案，其中具有以下內容。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": { "Service": "ec2.amazonaws.com"},
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. 使用下列命令，使用信任政策文件建立執行個體IAM角色。

   aws iam create-role \
       --role-name ecsInstanceRole \
       --assume-role-policy-document file://instance-role-trust-policy.json

3. ecsInstanceRole-profile 使用 create-instance-profile命令建立名為 的執行個體描述檔。

   aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

   回應範例

   {
       "InstanceProfile": {
           "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE",
           "Roles": [],
           "CreateDate": "2022-04-12T23:53:34.093Z",
           "InstanceProfileName": "ecsInstanceRole-profile",
           "Path": "/",
           "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile"
       }
   }

4. 將 ecsInstanceRole 角色新增至 ecsInstanceRole-profile 執行個體設定檔。

   aws iam add-role-to-instance-profile \
       --instance-profile-name ecsInstanceRole-profile \
       --role-name ecsInstanceRole

5. 使用下列命令將 AmazonEC2ContainerServiceRoleForEC2Role 受管政策連接至角色。

   aws iam attach-role-policy \
       --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \
       --role-name ecsInstanceRole

使用JSON政策編輯器建立政策

1. 登入 AWS Management Console 並在 開啟IAM主控台https://console.aws.amazon.com/iam/。

2. 在左側的導覽窗格中，選擇 Policies (政策)。

   如果這是您第一次選擇 Policies (政策)，將會顯示 Welcome to Managed Policies (歡迎使用受管政策) 頁面。選擇 Get Started (開始使用)。

3. 在頁面頂端，選擇 Create policy (建立政策)。

4. 在政策編輯器區段中，選擇 JSON選項。

5. 輸入下列JSON政策文件：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

6. 選擇 Next (下一步)。

   注意

   您可以隨時在視覺化和JSON編輯器選項之間切換。不過，如果您進行變更或在視覺化編輯器中選擇下一步， IAM可能會重組您的政策，以將其最佳化為視覺化編輯器。如需詳細資訊，請參閱IAM《 使用者指南》中的政策重組。

7. 在檢視與建立頁面上，為您在建立的政策輸入政策名稱與描述 (選用)。檢視此政策中定義的許可，來查看您的政策所授予的許可。

8. 選擇 Create policy (建立政策) 儲存您的新政策。

1. 建立稱為 instance-cw-logs.json 的檔案，其中具有以下內容。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

2. 使用以下命令，使用IAM政策文件檔案建立JSON政策。

   aws iam create-policy \
         --policy-name cwlogspolicy \
         --policy-document file://instance-cw-logs.json

3. 擷取IAM您使用下列命令建立ARN的政策。cwlogspolicy 將 取代為您建立的政策名稱。

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cwlogspolicy`].Arn'

4. 使用下列命令，使用政策 將政策連接至容器執行個體IAM角色ARN。

   aws iam attach-role-policy \
         --role-name ecsInstanceRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/cwlogspolicy