Amazon ECS 容器实例 IAM 角色 - Amazon Elastic Container Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon ECS 容器实例 IAM 角色

Amazon ECS 容器实例(包括 Amazon EC2 和外部实例)运行 Amazon ECS 容器代理,并需要服务的 IAM 角色,以便了解属于您的代理。在启动容器实例并将其注册到集群之前,必须为容器实例创建 IAM 角色以供使用。该角色在您用于登录控制台或运行 Amazon CLI 命令的账户中创建。

重要

如果要将外部实例注册到集群,则您使用的 IAM 角色也需要 Systems Manager 权限。有关更多信息,请参见 ECS Anywhere IAM 角色

Amazon ECS 提供 AmazonEC2ContainerServiceforEC2Role 托管 IAM policy,该策略包含使用完整 Amazon ECS 功能集所需的权限。此托管策略可以附加到 IAM 角色并与您的容器实例相关联。或者,您可以在创建要使用的自定义策略时使用托管策略作为指导。容器实例角色为 Amazon ECS 容器代理和 Docker 守护进程提供代表您调用 Amazon API 所需的权限。有关托管策略的更多信息,请参阅 Amazonec2 ec2Rol ContainerServicefor e

Amazon ECS 支持使用受支持的 Amazon EC2 实例类型启动已增加 ENI 密度的容器实例。使用此功能时,我们建议您创建 2 个容器实例角色。为一个角色启用awsvpcTrunking帐户设置,然后将该角色用于需要 ENI 中继的任务。有关awsvpcTrunking账户设置的信息,请参阅通过账户设置访问 Amazon ECS 的功能

在 IAM 控制台中检查容器实例 (ecsInstanceRole)

您可以手动为容器实例创建角色和附加托管 IAM policy,以便 Amazon ECS 能够在引入未来功能和增强功能时添加这些功能的权限。使用以下过程检查并确定您的账户是否已拥有 Amazon ECS 容器实例 IAM 角色并且附加托管 IAM policy (如果需要)。

重要

将 Amazon ContainerServicefor EC2 ec2R ole 托管策略附加到容器实例 IAM 角色,否则在使用创建集群时会出现错误。Amazon Web Services Management Console

  1. 通过以下网址打开 IAM 控制台:https://console.aws.amazon.com/iam/

  2. 在导航窗格中,选择角色

  3. 在搜索框中,输入 ecsInstanceRole。如果角色存在,请选择角色以查看附加的策略。

  4. 在 “权限” 选项卡上,验证 Amazon ContainerServicefor EC2 ec2Role 是否已附加到该角色

    1. 依次选择 Add Permissions(添加权限)和 Attach policies(附加策略)。

    2. 要缩小要附加的可用策略范围,请在筛选条件中输入 Amazon ContainerServicefor EC2 ec2Role

    3. 选中 Amazon ContainerServicefor EC2 ec2Role 政策左侧的复选框,然后选择附加策略。

  5. 选择 Trust Relationships(信任关系)。

  6. 验证信任关系是否包含以下策略。如果信任关系符合以下策略,请选择 Cancel。如果信任关系不符合,请选择 Edit trust policy(编辑信任策略),将策略复制到 Policy Document(策略文档)窗口中并选择 Update policy(更新策略)。

    { "Version": "2008-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }

创建容器实例 (ecsInstanceRole) 角色

重要

如果要将外部实例注册到集群,请参阅 ECS Anywhere IAM 角色

您可以手动为容器实例创建角色和附加托管 IAM policy,以便 Amazon ECS 能够在引入未来功能和增强功能时添加这些功能的权限。使用以下过程检查并确定您的账户是否已拥有 Amazon ECS 容器实例 IAM 角色并且附加托管 IAM policy (如果需要)。

为容器实例创建 ecsInstanceRole IAM 角色
  1. 通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

  2. 在导航窗格中,选择角色,然后选择创建角色

  3. 选择 Amazon 服务角色类型,然后在其他 Amazon 服务的应用场景下,选择 Elastic Container Service

  4. 选择 EC2 Role for Elastic Container Service(Elastic Container Service 的 EC2 角色)使用案例,然后选择 Next: Permissions(下一步:权限)。

  5. 在 “权限策略” 部分,确认已选择 Amazon ContainerServicefor EC2 ec2Rol e 策略,然后选择 “下一步”。

    重要

    将 Amazon ContainerServicefor EC2 ec2R ole 托管策略附加到容器实例 IAM 角色,否则在使用创建集群时会出现错误。Amazon Web Services Management Console

  6. 在 “角色名称” 中 ecsInstanceRole,输入,也可以输入描述。

  7. 对于添加标签(可选),输入要与策略关联的任何自定义标签,然后选择下一步:审核

  8. 检查您的角色信息,然后选择 Create role 以完成操作。

创建 ecsInstanceRole 角色 (Amazon CLI)
  1. ecsInstanceRole-profile使用create-instance-profile命令创建名为的实例配置文件。

    aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

    响应示例

    { "InstanceProfile": { "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE", "Roles": [], "CreateDate": "2022-04-12T23:53:34.093Z", "InstanceProfileName": "ecsInstanceRole-profile", "Path": "/", "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile" } }
  2. ecsInstanceRole 角色添加到 ecsInstanceRole-profile 实例配置文件。

    aws iam add-role-to-instance-profile \ --instance-profile-name ecsInstanceRole-profile \ --role-name ecsInstanceRole

向容器实例 (ecsInstanceRole) 角色添加 Amazon S3 只读访问权限

将配置信息存储在 Amazon S3 中的私有存储桶中并向您的容器实例 IAM 角色授予只读访问权限,这是一个允许在启动时配置容器实例的安全方便的方法。您可以将 ecs.config 文件的副本存储在私有存储桶中,使用 Amazon CLI Amazon EC2 用户数据安装 ,然后在实例启动时将配置信息复制到 /etc/ecs/ecs.config

有关创建 ecs.config 文件,将该文件存储在 Amazon S3, 中并使用此配置启动实例的更多信息,请参阅 将容器实例配置存储在 Amazon S3 中

为容器实例角色授予 Amazon S3 只读访问权限
  1. 打开 IAM 控制台:https://console.aws.amazon.com/iam/

  2. 在导航窗格中,选择策略

  3. 筛选政策搜索框中,输入 AmazonS3 ReadOnlyAccess,然后选择政策。

    注意

    此策略允许对所有 Amazon S3 资源进行只读访问。有关更多限制性存储桶策略的示例,请参阅 Amazon Simple Storage Service 用户指南中的存储桶策略示例

  4. 选择附加

  5. 筛选角色搜索框中,输入ecsInstanceRole

  6. 选中ecsInstanceRole角色左侧的复选框,然后选择附加策略

监控容器实例所需的权限

在您的容器实例可以向日志发送 CloudWatch 日志数据之前,您必须创建一个 IAM 策略以允许您的容器实例使用 CloudWatch 日志 API,然后必须将该策略附加到ecsInstanceRole

创建ECS-CloudWatchLogs IAM policy
  1. 打开 IAM 控制台:https://console.aws.amazon.com/iam/

  2. 在导航窗格中,选择策略

  3. 依次选择创建策略JSON

  4. 输入以下策略:

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams" ], "Resource": ["arn:aws:logs:*:*:*"] } ] }
  5. 选择查看策略

  6. 查看策略页面上,为名称 输入 ECS-CloudWatchLogs,然后选择创建策略

ECS-CloudWatchLogs策略附加到ecsInstanceRole
  1. 通过以下网址打开 IAM 控制台:https://console.aws.amazon.com/iam/

  2. 在导航窗格中,选择角色

  3. 选择ecsInstanceRole。如果角色不存在,请按照 Amazon ECS 容器实例 IAM 角色中的过程操作来创建角色。

  4. 在导航窗格中,选择策略

  5. 选择 ECS-CloudWatchLogs

  6. 选择策略操作附加

  7. 要缩小要附加的可用策略的范围,请为筛选条件键入 ecsInstance

  8. 选择 ecsInstance 角色并选择附加策略