Amazon ECS 容器執行個體 IAM 角色

建立 Elastic Container Service (IAM 主控台） 的服務角色

1. 登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

2. 在 IAM 主控台的導覽窗格中，選擇角色，然後選擇建立角色。

3. 對於 Trusted entity type (信任的實體類型)，請選擇 AWS 服務。

4. 針對服務或使用案例，選擇彈性容器服務，然後選擇彈性容器服務的 EC2 角色使用案例。

5. 選擇 Next (下一步)。

6. 在許可政策區段中，確認已選取 AmazonEC2ContainerServiceforEC2Role 政策。

   重要

   AmazonEC2ContainerServiceforEC2Role 受管政策應連接至容器執行個體 IAM 角色，否則您會使用 來建立叢集 AWS Management Console 而收到錯誤。

7. 選擇 Next (下一步)。

8. 針對角色名稱，輸入 ecsInstanceRole

9. 檢閱角色，然後選擇 Create role (建立角色)。

1. 建立稱為 instance-role-trust-policy.json 的檔案，其中具有以下內容。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": { "Service": "ec2.amazonaws.com"},
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. 使用以下命令，使用信任政策文件建立執行個體 IAM 角色。

   aws iam create-role \
       --role-name ecsInstanceRole \
       --assume-role-policy-document file://instance-role-trust-policy.json

3. 使用 create-instance-profile 命令建立名為 ecsInstanceRole-profile 的執行個體設定檔。

   aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

   回應範例

   {
       "InstanceProfile": {
           "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE",
           "Roles": [],
           "CreateDate": "2022-04-12T23:53:34.093Z",
           "InstanceProfileName": "ecsInstanceRole-profile",
           "Path": "/",
           "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile"
       }
   }

4. 將 ecsInstanceRole 角色新增至 ecsInstanceRole-profile 執行個體設定檔。

   aws iam add-role-to-instance-profile \
       --instance-profile-name ecsInstanceRole-profile \
       --role-name ecsInstanceRole

5. 使用下列命令將 AmazonEC2ContainerServiceRoleForEC2Role 受管政策連接至角色。

   aws iam attach-role-policy \
       --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \
       --role-name ecsInstanceRole

若要使用 JSON 政策編輯器來建立政策

1. 登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

2. 在左側的導覽窗格中，選擇 Policies (政策)。

   如果這是您第一次選擇 Policies (政策)，將會顯示 Welcome to Managed Policies (歡迎使用受管政策) 頁面。選擇 Get Started (開始使用)。

3. 在頁面頂端，選擇 Create policy (建立政策)。

4. 在政策編輯器中，選擇 JSON 選項。

5. 輸入下列 JSON 政策文件：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

6. 選擇 Next (下一步)。

   注意

   您可以隨時切換視覺化與 JSON 編輯器選項。不過，如果您進行變更或在視覺化編輯器中選擇下一步，IAM 就可能會調整您的政策結構，以便針對視覺化編輯器進行最佳化。如需詳細資訊，請參閱 IAM 使用者指南中的調整政策結構。

7. 在檢視與建立頁面上，為您正在建立的政策輸入政策名稱與描述 (選用)。檢視此政策中定義的許可，來查看您的政策所授予的許可。

8. 選擇 Create policy (建立政策) 儲存您的新政策。

1. 建立稱為 instance-cw-logs.json 的檔案，其中具有以下內容。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

2. 使用以下命令，使用 JSON 政策文件檔案建立 IAM 政策。

   aws iam create-policy \
         --policy-name cwlogspolicy \
         --policy-document file://instance-cw-logs.json

3. 擷取您使用以下命令建立的 IAM 政策 ARN。將 cwlogspolicy 取代為您建立的政策名稱。

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cwlogspolicy`].Arn'

4. 使用下列命令，使用政策 ARN 將政策連接至容器執行個體 IAM 角色。

   aws iam attach-role-policy \
         --role-name ecsInstanceRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/cwlogspolicy