Amazon ECS 容器实例 IAM 角色

为 Elastic Container Service 创建服务角色（IAM 控制台）

1. 登录 Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在 IAM 控制台的导航窗格中，选择角色，然后选择创建角色。

3. 对于 Trusted entity type（可信实体类型），选择 Amazon Web Services 服务。

4. 对于服务或使用案例，选择 Elastic Container Service，然后选择 Elastic Container Service 的 EC2 角色使用案例。

5. 选择下一步。

6. 在权限策略部分，确认是否选择了 AmazonEC2ContainerServiceforEC2Role 策略。

   重要

   AmazonEC2ContainerServiceforEC2Role 托管策略应附加到容器实例 IAM 角色，否则使用 Amazon Web Services Management Console 创建集群时将收到错误。

7. 选择下一步。

8. 对于角色名称，输入 ecsInstanceRole

9. 检查该角色，然后选择创建角色。

1. 创建以下内容的名为 instance-role-trust-policy.json 的文件。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": { "Service": "ec2.amazonaws.com"},
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. 使用以下命令通过信任策略文档创建实例 IAM 角色。

   aws iam create-role \
       --role-name ecsInstanceRole \
       --assume-role-policy-document file://instance-role-trust-policy.json

3. 使用 create-instance-profile 命令创建名为 ecsInstanceRole-profile 的实例配置文件。

   aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

   响应示例

   {
       "InstanceProfile": {
           "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE",
           "Roles": [],
           "CreateDate": "2022-04-12T23:53:34.093Z",
           "InstanceProfileName": "ecsInstanceRole-profile",
           "Path": "/",
           "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile"
       }
   }

4. 将 ecsInstanceRole 角色添加到 ecsInstanceRole-profile 实例配置文件。

   aws iam add-role-to-instance-profile \
       --instance-profile-name ecsInstanceRole-profile \
       --role-name ecsInstanceRole

5. 使用以下命令以将 AmazonEC2ContainerServiceRoleForEC2Role 托管策略附加到角色。

   aws iam attach-role-policy \
       --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \
       --role-name ecsInstanceRole

使用 JSON 策略编辑器创建策略

1. 登录Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在左侧的导航窗格中，选择策略。

   如果这是您首次选择策略，则会显示欢迎访问托管式策略页面。选择开始使用。

3. 在页面的顶部，选择创建策略。

4. 在策略编辑器部分，选择 JSON 选项。

5. 输入以下 JSON 策略文档：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

6. 选择下一步。

   注意

   您可以随时在可视化和 JSON 编辑器选项卡之间切换。不过，如果您进行更改或在可视化编辑器中选择下一步，IAM 可能会调整策略结构以针对可视化编辑器进行优化。有关更多信息，请参阅《IAM 用户指南》中的调整策略结构。

7. 在查看并创建页面上，为您要创建的策略输入策略名称和描述（可选）。查看此策略中定义的权限以查看策略授予的权限。

8. 选择创建策略可保存新策略。

1. 使用以下内容创建名为 instance-cw-logs.json 的文件。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

2. 使用以下命令通过 JSON 策略文档文件创建 IAM 策略。

   aws iam create-policy \
         --policy-name cwlogspolicy \
         --policy-document file://instance-cw-logs.json

3. 使用以下命令检索您创建的 IAM 策略的 ARN。将 cwlogspolicy 替换为您创建的策略的名称。

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cwlogspolicy`].Arn'

4. 使用以下命令通过策略 ARN 将策略附加到容器实例 IAM 角色。

   aws iam attach-role-policy \
         --role-name ecsInstanceRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/cwlogspolicy