Amazon ECS 容器实例 IAM 角色

为容器实例创建 ecsInstanceRole IAM 角色

1. 通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

2. 在导航窗格中，选择角色，然后选择创建角色。

3. 选择Amazon 服务角色类型，然后在其他 Amazon 服务的用例下，选择弹性容器服务。

4. 选择 EC2 Role for Elastic Container Service（Elastic Container Service 的 EC2 角色）使用案例，然后选择 Next: Permissions（下一步：权限）。

5. 在 “权限策略” 部分，确认已选择 Amazon ContainerServicefor EC2 ec2Rol e 策略，然后选择 “下一步”。

   重要

   应将 Amazon ContainerServicefor EC2 ec2R ole 托管策略附加到容器实例 IAM 角色，否则在使用创建集群时会出现错误。 Amazon Web Services Management Console

6. 在 “角色名称” 中 ecsInstanceRole，输入，也可以输入描述。

7. 对于添加标签（可选），输入要与策略关联的任何自定义标签，然后选择下一步：审核。

8. 检查您的角色信息，然后选择 Create role 以完成操作。

1. 创建以下内容的名为 instance-role-trust-policy.json 的文件。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": { "Service": "ec2.amazonaws.com"},
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. 使用以下命令使用信任策略文档创建实例 IAM 角色。

   aws iam create-role \
       --role-name ecsInstanceRole \
       --assume-role-policy-document file://instance-role-trust-policy.json

3. ecsInstanceRole-profile使用create-instance-profile命令创建名为的实例配置文件。

   aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

   响应示例

   {
       "InstanceProfile": {
           "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE",
           "Roles": [],
           "CreateDate": "2022-04-12T23:53:34.093Z",
           "InstanceProfileName": "ecsInstanceRole-profile",
           "Path": "/",
           "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile"
       }
   }

4. 将 ecsInstanceRole 角色添加到 ecsInstanceRole-profile 实例配置文件。

   aws iam add-role-to-instance-profile \
       --instance-profile-name ecsInstanceRole-profile \
       --role-name ecsInstanceRole

5. 使用以下命令将AmazonEC2ContainerServiceRoleForEC2Role托管策略附加到角色。

   aws iam attach-role-policy \
       --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \
       --role-name ecsInstanceRole

使用 JSON 策略编辑器创建策略

1. 登录 Amazon Web Services Management Console 并打开 IAM 控制台，网址为 https://console.aws.amazon.com/iam/。

2. 在左侧的导航窗格中，选择策略。

   如果这是您首次选择策略，则会显示欢迎访问托管式策略页面。选择开始使用。

3. 在页面的顶部，选择创建策略。

4. 在策略编辑器部分，选择 JSON 选项。

5. 输入以下 JSON 策略文档：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

6. 选择下一步。

   注意

   您可以随时在可视化和 JSON 编辑器选项卡之间切换。不过，如果您进行更改或在可视化编辑器中选择下一步，IAM 可能会调整策略结构以针对可视化编辑器进行优化。有关更多信息，请参阅《IAM 用户指南》中的调整策略结构。

7. 在查看并创建页面上，为您要创建的策略输入策略名称和描述（可选）。查看此策略中定义的权限以查看策略授予的权限。

8. 选择创建策略可保存新策略。

1. 使用以下内容创建名为 instance-cw-logs.json 的文件。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

2. 使用以下命令使用 JSON 策略文档文件创建 IAM 策略。

   aws iam create-policy \
         --policy-name cwlogspolicy \
         --policy-document file://instance-cw-logs.json

3. 使用以下命令检索您创建的 IAM 策略的 ARN。将 cwlogspolicy 替换为您创建的策略的名称。

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cwlogsppolicy`].Arn'

4. 使用以下命令使用策略 ARN 将策略附加到容器实例 IAM 角色。

   aws iam attach-role-policy \
         --role-name ecsInstanceRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/cwlogspolicy