Amazon ECS 容器实例 IAM 角色 - Amazon Elastic Container Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

Amazon ECS 容器实例 IAM 角色

Amazon ECS 容器实例(包括 Amazon EC2 和外部实例)运行 Amazon ECS 容器代理,并需要服务的 IAM 角色,以便了解属于您的代理。在启动容器实例并将其注册到集群之前,必须为容器实例创建 IAM 角色以供使用。该角色在您用于登录控制台或运行 Amazon CLI 命令的账户中创建。

重要

如果要将外部实例注册到集群,则您使用的 IAM 角色也需要 Systems Manager 权限。有关更多信息,请参阅 Amazon ECS Anywhere IAM 角色

Amazon ECS 提供 AmazonEC2ContainerServiceforEC2Role 托管 IAM policy,该策略包含使用完整 Amazon ECS 功能集所需的权限。此托管策略可以附加到 IAM 角色并与您的容器实例相关联。或者,您可以在创建要使用的自定义策略时使用托管策略作为指导。容器实例角色为 Amazon ECS 容器代理和 Docker 守护进程提供代表您调用 Amazon API 所需的权限。有关托管策略的更多信息,请参阅 AmazonEC2ContainerServiceforEC2Role

Amazon ECS 支持使用受支持的 Amazon EC2 实例类型启动已增加 ENI 密度的容器实例。使用此功能时,建议您创建两个容器实例角色。为一个角色启用 awsvpcTrunking 账户设置,并将该角色用于需要 ENI 中继的任务。有关 awsvpcTrunking 账户设置的信息,请参阅通过账户设置访问 Amazon ECS 功能

创建容器实例角色

重要

如果要将外部实例注册到集群,请参阅 Amazon ECS Anywhere IAM 角色

您可以手动为容器实例创建角色和附加托管 IAM policy,以便 Amazon ECS 能够在引入未来功能和增强功能时添加这些功能的权限。如果需要,可使用以下过程附加托管 IAM 策略。

Amazon Web Services Management Console
为 Elastic Container Service 创建服务角色(IAM 控制台)
  1. 登录Amazon Web Services Management Console,然后通过以下网址打开 IAM 控制台:https://console.aws.amazon.com/iam/

  2. 在 IAM 控制台的导航窗格中,选择角色,然后选择创建角色

  3. 对于 Trusted entity type(可信实体类型),选择 Amazon Web Services 服务

  4. 对于服务或使用案例,选择 Elastic Container Service,然后选择 Elastic Container Service 的 EC2 角色使用案例。

  5. 选择下一步

  6. 权限策略部分,确认是否选择了 AmazonEC2ContainerServiceforEC2Role 策略。

    重要

    AmazonEC2ContainerServiceforEC2Role 托管策略应附加到容器实例 IAM 角色,否则使用 Amazon Web Services Management Console 创建集群时将收到错误。

  7. 选择下一步

  8. 对于角色名称,输入 ecsInstanceRole

  9. 检查该角色,然后选择创建角色

Amazon CLI

将所有用户输入替换为您自己的值。

  1. 创建以下内容的名为 instance-role-trust-policy.json 的文件。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com"}, "Action": "sts:AssumeRole" } ] }
  2. 使用以下命令通过信任策略文档创建实例 IAM 角色。

    aws iam create-role \ --role-name ecsInstanceRole \ --assume-role-policy-document file://instance-role-trust-policy.json
  3. 使用 create-instance-profile 命令创建名为 ecsInstanceRole-profile 的实例配置文件。

    aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

    响应示例

    { "InstanceProfile": { "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE", "Roles": [], "CreateDate": "2022-04-12T23:53:34.093Z", "InstanceProfileName": "ecsInstanceRole-profile", "Path": "/", "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile" } }
  4. ecsInstanceRole 角色添加到 ecsInstanceRole-profile 实例配置文件。

    aws iam add-role-to-instance-profile \ --instance-profile-name ecsInstanceRole-profile \ --role-name ecsInstanceRole
  5. 使用以下命令以将 AmazonEC2ContainerServiceRoleForEC2Role 托管策略附加到角色。

    aws iam attach-role-policy \ --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \ --role-name ecsInstanceRole

创建该角色后,为该角色添加以下功能的附加权限。

功能 其他权限

Amazon ECR 具有容器映像

Amazon ECR 权限

使用 CloudWatch Logs 监控容器实例

监控容器实例的权限

在 Amazon S3 存储桶中托管配置文件

Amazon S3 只读访问权限

Amazon ECR 权限

用于容器实例的 Amazon ECS 容器实例角色必须具有以下有关 Amazon ECR 的 IAM 策略权限。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ecr:BatchCheckLayerAvailability", "ecr:BatchGetImage", "ecr:GetDownloadUrlForLayer", "ecr:GetAuthorizationToken" ], "Resource": "*" } ] }

如果您对容器实例使用 AmazonEC2ContainerServiceforEC2Role 托管策略,则您的角色将具有适当的权限。要检查您的角色是否支持 Amazon ECR,请参阅 Amazon Elastic Container Service 开发人员指南中的 Amazon ECS 容器实例 IAM 角色

Amazon S3 只读访问权限

将配置信息存储在 Amazon S3 中的私有存储桶中并向您的容器实例 IAM 角色授予只读访问权限,这是一个允许在启动时配置容器实例的安全方便的方法。您可以将 ecs.config 文件的副本存储在私有存储桶中,使用 Amazon CLI Amazon EC2 用户数据安装 ,然后在实例启动时将配置信息复制到 /etc/ecs/ecs.config

有关创建 ecs.config 文件,将该文件存储在 Amazon S3, 中并使用此配置启动实例的更多信息,请参阅 将 Amazon ECS 容器实例配置存储在 Amazon S3 中

可以使用以下 Amazon CLI 命令允许 Amazon S3 对容器实例角色的只读访问。将 ecsInstanceRole 替换为您创建的角色的名称。

aws iam attach-role-policy \ --role-name ecsInstanceRole \ --policy-arn arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

您也可以使用 IAM 控制台将 Amazon S3 只读访问权限(AmazonS3ReadOnlyAccess)添加到您的角色。有关更多信息,请参阅《Amazon Identity and Access Management 用户指南》中的更新角色权限

监控容器实例的权限

您必须先创建 IAM policy 以允许容器实例使用 CloudWatch Logs API 并将该策略附加到 ecsInstanceRole,然后您的容器实例才能将日志数据发送到 CloudWatch Logs,。

Amazon Web Services Management Console
使用 JSON 策略编辑器创建策略
  1. 登录Amazon Web Services Management Console,然后通过以下网址打开 IAM 控制台:https://console.aws.amazon.com/iam/

  2. 在左侧的导航窗格中,选择策略

    如果这是您首次选择策略,则会显示欢迎访问托管式策略页面。选择开始使用

  3. 在页面的顶部,选择创建策略

  4. 策略编辑器部分,选择 JSON 选项。

  5. 输入以下 JSON 策略文档:

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams" ], "Resource": ["arn:aws:logs:*:*:*"] } ] }
  6. 选择下一步

    注意

    您可以随时在可视化JSON 编辑器选项卡之间切换。不过,如果您进行更改或在可视化编辑器中选择下一步,IAM 可能会调整策略结构以针对可视化编辑器进行优化。有关更多信息,请参阅《IAM 用户指南》中的调整策略结构

  7. 查看并创建页面上,为您要创建的策略输入策略名称描述(可选)。查看此策略中定义的权限以查看策略授予的权限。

  8. 选择创建策略可保存新策略。

创建策略后,将策略附加到容器实例角色。有关如何将策略附加到角色的信息,请参阅《Amazon Identity and Access Management 用户指南》中的更新角色权限

Amazon CLI
  1. 使用以下内容创建名为 instance-cw-logs.json 的文件。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams" ], "Resource": ["arn:aws:logs:*:*:*"] } ] }
  2. 使用以下命令通过 JSON 策略文档文件创建 IAM 策略。

    aws iam create-policy \ --policy-name cwlogspolicy \ --policy-document file://instance-cw-logs.json
  3. 使用以下命令检索您创建的 IAM 策略的 ARN。将 cwlogspolicy 替换为您创建的策略的名称。

    aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cwlogspolicy`].Arn'
  4. 使用以下命令通过策略 ARN 将策略附加到容器实例 IAM 角色。

    aws iam attach-role-policy \ --role-name ecsInstanceRole \ --policy-arn arn:aws:iam:111122223333:aws:policy/cwlogspolicy