Spot 队列权限

为竞价型实例集创建策略

1. 通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

2. 在导航窗格中，选择 Policies、Create policy。

3. 在 Create policy (创建策略) 页面上，选择 JSON，然后将文本替换为以下内容。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:RunInstances",
                   "ec2:CreateTags",
                   "ec2:RequestSpotFleet",
                   "ec2:ModifySpotFleetRequest",
                   "ec2:CancelSpotFleetRequests",
                   "ec2:DescribeSpotFleetRequests",
                   "ec2:DescribeSpotFleetInstances",
                   "ec2:DescribeSpotFleetRequestHistory"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": "arn:aws:iam::*:role/aws-ec2-spot-fleet-tagging-role"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "iam:CreateServiceLinkedRole",
                   "iam:ListRoles",
                   "iam:ListInstanceProfiles"
               ],
               "Resource": "*"
           }
       ]
   }

   上述示例策略为用户授予多数竞价型实例集使用案例所需的权限。要将用户限制为特定的 API 操作，请仅指定这些 API 操作。

   所需的 EC2 和 IAM API

   必须在策略中包含以下 API：

   • ec2:RunInstances – 需要其启动竞价型实例集中的实例

   • ec2:CreateTags – 需要其标记竞价型实例集请求、实例或卷

   • iam:PassRole – 需要其指定竞价型实例集角色

   • iam:CreateServiceLinkedRole – 需要其创建服务相关角色

   • iam:ListRoles – 需要其枚举现有的 IAM 角色

   • iam:ListInstanceProfiles – 需要其枚举现有的实例配置文件

   重要

   如果您在启动规范或启动模板中为 IAM 实例配置文件指定角色，则必须授予用户将该角色传递给服务的权限。为此，在 IAM policy 中，包括 "arn:aws:iam::*:role/IamInstanceProfile-role" 作为 iam:PassRole 操作的资源。有关更多信息，请参阅 IAM 用户指南中的向用户授予将角色传递给 Amazon 服务的权限。

   竞价型实例集 API

   根据需要，将以下 Spot 队列 API 操作添加到策略中：

   • ec2:RequestSpotFleet

   • ec2:ModifySpotFleetRequest

   • ec2:CancelSpotFleetRequests

   • ec2:DescribeSpotFleetRequests

   • ec2:DescribeSpotFleetInstances

   • ec2:DescribeSpotFleetRequestHistory

   可选的 IAM API

   （可选）要允许用户使用 IAM 控制台创建角色或实例配置文件，您必须在策略中添加以下操作：

   • iam:AddRoleToInstanceProfile

   • iam:AttachRolePolicy

   • iam:CreateInstanceProfile

   • iam:CreateRole

   • iam:GetRole

   • iam:ListPolicies

4. 选择查看策略。

5. 在查看策略页面上，输入策略名称和描述，然后选择创建策略。

6. 要提供访问权限，请为您的用户、组或角色添加权限：

   • 通过身份提供商在 IAM 中托管的用户：

     创建适用于身份联合验证的角色。按照《IAM 用户指南》中针对第三方身份提供商创建角色（联合身份验证）的说明进行操作。

   • IAM 用户：

     • 创建您的用户可以担任的角色。按照《IAM 用户指南》中为 IAM 用户创建角色的说明进行操作。

     • （不推荐使用）将策略直接附加到用户或将用户添加到用户组。按照《IAM 用户指南》中向用户添加权限（控制台）中的说明进行操作。

使用控制台为竞价型实例集创建 AWSServiceRoleForEC2SpotFleet 角色

1. 通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在导航窗格中，选择 Roles（角色）。

3. 选择创建角色。

4. 在选择受信任的实体页面上，请执行以下操作：

   1. 在可信实体类型中选择 Amazon 服务。

   2. 在使用案例下，对于服务或使用案例，选择 EC2。

   3. 对于使用案例，选择 EC2 - 竞价型实例集。

      注意

      EC2 - 竞价型实例集使用案例将自动创建具有所需 IAM 权限的策略，并建议将 AWSEC2SpotFleetServiceRolePolicy 作为角色名称。

   4. 选择下一步。

5. 在添加权限页面上，选择下一步。

6. 在命名、检查并创建页面上，选择创建角色。

为 AWSServiceRoleForEC2SpotFleet 角色授予使用 CMK 的权限

• 使用 create-grant 命令在 CMK 中添加授权，并指定授予权限的委托人（AWSServiceRoleForEC2SpotFleet 服务相关角色）以执行授权允许的操作。CMK 是由 key-id 参数和 CMK 的 ARN 指定的。委托人是由 grantee-principal 参数和 AWSServiceRoleForEC2SpotFleet 服务相关角色的 ARN 指定的。

  aws kms create-grant \
      --region us-east-1 \
      --key-id arn:aws:kms:us-east-1:444455556666:key/1234abcd-12ab-34cd-56ef-1234567890ab \
      --grantee-principal arn:aws:iam::111122223333:role/aws-service-role/spotfleet.amazonaws.com/AWSServiceRoleForEC2SpotFleet \
      --operations "Decrypt" "Encrypt" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "CreateGrant" "DescribeKey" "ReEncryptFrom" "ReEncryptTo"

创建用于标记 Spot 队列的 IAM 角色

1. 通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在导航窗格中，选择 Roles（角色）。

3. 选择创建角色。

4. 在 Select trusted entity（选择可信实体）页面中，在 Trusted entity type（可信实体类型）下选择 service（Amazon 服务）。

5. 在使用案例下，从其他 Amazon 服务的使用案例中选择 EC2，然后选择 EC2 – 竞价型实例集标记。

6. 选择下一步。

7. 在添加权限页面上，选择下一步。

8. 在 Name, review, and create（命名、检查和创建）页面上，对于 Role name（角色名称），输入角色的名称（例如 aws-ec2-spot-fleet-tagging-role）。

9. 检查此页面上的信息，然后选择 Create role（创建角色）。

将 aws:SourceArn 和 aws:SourceAccount 条件键添加到 aws-ec2-spot-fleet-tagging-role 信任策略

1. 通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在导航窗格中，选择角色。

3. 找到您之前创建的 aws-ec2-spot-fleet-tagging-role 并选择链接（而不是复选框）。

4. 在 Summary（摘要）下，选择 Trust relationships（信任关系）选项卡，然后选择 Edit trust policy（编辑信任策略）。

5. 在 JSON 语句中，添加一个包含您的 aws:SourceAccount 和 aws:SourceArn 全局条件上下文键的 Condition 元素，以防止混淆代理人问题，如下所示：

   "Condition": {
         "ArnLike": {
           "aws:SourceArn": "arn:aws:ec2:us-east-1:account_id:spot-fleet-request/sfr-*"
         },
         "StringEquals": {
           "aws:SourceAccount": "account_id"
         }

   注意

   如果 aws:SourceArn 值包含账户 ID，并且您同时使用了这两个全局条件上下文键，则 aws:SourceAccount 值和 aws:SourceArn 值中的账户在同一策略语句中使用时，必须使用相同的账户 ID。

   最终的信任策略将如下所示：

   {
     "Version": "2012-10-17",
     "Statement": {
       "Sid": "ConfusedDeputyPreventionExamplePolicy",
       "Effect": "Allow",
       "Principal": {
         "Service": "spotfleet.amazonaws.com"
       },
       "Action": "sts:AssumeRole",
       "Condition": {
         "ArnLike": {
           "aws:SourceArn": "arn:aws:ec2:us-east-1:account_id:spot-fleet-request/sfr-*"
         },
         "StringEquals": {
           "aws:SourceAccount": "account_id"
         }
       }
     }
   }

6. 选择更新策略。