Amazon ECS CodeDeploy IAM 角色

创建用于 CodeDeploy 的服务角色（IAM 控制台）

1. 登录Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在 IAM 控制台的导航窗格中，选择角色，然后选择创建角色。

3. 对于 Trusted entity type（可信实体类型），选择 Amazon Web Service。

4. 对于服务或使用案例，请选择 CodeDeploy，然后选择 CodeDeploy - ECS 使用案例。

5. 选择下一步。

6. 在附加权限策略部分中，确保选择了 AWSCodeDeployRoleForECS 策略。

7. 选择下一步。

8. 对于在角色名称，输入 ecsCodeDeployRole。

9. 检查该角色，然后选择创建角色。

将所有用户输入替换为您自己的信息。

1. 创建一个名为 codedeploy-trust-policy.json 的文件，其中包含要用于 CodeDeploy IAM 角色的信任策略。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "Service": ["codedeploy.amazonaws.com"]
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

2. 使用上一步中创建的信任策略创建命名为 ecsCodedeployRole 的 IAM 角色。

   aws iam create-role \
         --role-name ecsCodedeployRole \
         --assume-role-policy-document file://codedeploy-trust-policy.json

3. 将 AWSCodeDeployRoleForECS 或 AWSCodeDeployRoleForECSLimited 托管策略附加到 ecsTaskRole 角色。

   aws iam attach-role-policy \
         --role-name ecsCodedeployRole \
         --policy-arn arn:aws::iam::aws:policy/AWSCodeDeployRoleForECS

   aws iam attach-role-policy \
         --role-name ecsCodedeployRole \
         --policy-arn arn:aws::iam::aws:policy/AWSCodeDeployRoleForECSLimited

使用 JSON 策略编辑器创建策略

1. 登录Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在左侧的导航窗格中，选择策略。

   如果这是您首次选择策略，则会显示欢迎访问托管式策略页面。选择开始使用。

3. 在页面的顶部，选择创建策略。

4. 在策略编辑器部分，选择 JSON 选项。

5. 输入以下 JSON 策略文档：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": ["arn:aws:iam::<aws_account_id>:role/<ecsCodeDeployRole>"]
           }
       ]
   }

6. 选择下一步。

   注意

   您可以随时在可视化和 JSON 编辑器选项卡之间切换。不过，如果您进行更改或在可视化编辑器中选择下一步，IAM 可能会调整策略结构以针对可视化编辑器进行优化。有关更多信息，请参阅《IAM 用户指南》中的调整策略结构。

7. 在查看并创建页面上，为您要创建的策略输入策略名称和描述（可选）。查看此策略中定义的权限以查看策略授予的权限。

8. 选择创建策略可保存新策略。

将所有用户输入替换为您自己的信息。

1. 使用以下内容创建名为 blue-green-iam-passrole.json 的文件。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": ["arn:aws:iam::<aws_account_id>:role/<ecsCodeDeployRole>"]
           }
       ]
   }

2. 使用以下命令通过 JSON 策略文档文件创建 IAM 策略。

   aws iam create-policy \
         --policy-name cdTaskExecutionPolicy \
         --policy-document file://blue-green-iam-passrole.json

3. 使用以下命令检索您创建的 IAM 策略的 ARN。

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cdTaskExecutionPolicy`].Arn'

4. 使用以下命令将策略附加到 CodeDeploy IAM 角色。

   aws iam attach-role-policy \
         --role-name ecsCodedeployRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/cdTaskExecutionPolicy