步骤 4：为 Amazon EC2 实例创建 IAM 实例配置文件

在您的开发计算机上，创建一个名为 CodeDeployDemo-EC2-Trust.json 的文本文件。粘贴以下内容，这将允许 Amazon EC2 代表您工作：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ec2.cn-north-1.amazonaws.com",
                    "ec2.cn-northwest-1.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

在相同的目录中，创建一个名为 CodeDeployDemo-EC2-Permissions.json 的文本文件。粘贴以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*",
                "arn:aws:s3:::aws-codedeploy-cn-north-1/*",
                "arn:aws:s3:::aws-codedeploy-cn-northwest-1/*"
            ]
        }
    ]
}

从同一目录调用 create-role 命令，根据第一个文件中的信息创建名为 的 CodeDeployDemo-EC2-Instance-Profile 角色：

aws iam create-role --role-name CodeDeployDemo-EC2-Instance-Profile --assume-role-policy-document file://CodeDeployDemo-EC2-Trust.json

从同一目录调用 put-role-policy 命令，根据第二个文件中的信息为名为 CodeDeployDemo-EC2-Instance-Profile 的角色提供权限：

aws iam put-role-policy --role-name CodeDeployDemo-EC2-Instance-Profile --policy-name CodeDeployDemo-EC2-Permissions --policy-document file://CodeDeployDemo-EC2-Permissions.json

致电attach-role-policy为角色授予 Amazon EC2 Systems Manager 权限，以便 SSM 可以安装 CodeDeploy 代理。如果您计划使用命令行从公用 Amazon S3 存储桶安装代理，则不需要此策略。了解有关安装 CodeDeploy 代理的详细信息。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore --role-name CodeDeployDemo-EC2-Instance-Profile

依次调用 create-instance-profile 命令和 add-role-to-instance-profile 命令，创建名为 CodeDeployDemo-EC2-Instance-Profile 的 IAM 实例配置文件。此实例配置文件使 Amazon EC2 能够在 Amazon EC2 实例首次启动时将名为 CodeDeployDemo-EC2-Instance-Profile 的 IAM 角色传递给该实例：

aws iam create-instance-profile --instance-profile-name CodeDeployDemo-EC2-Instance-Profile
aws iam add-role-to-instance-profile --instance-profile-name CodeDeployDemo-EC2-Instance-Profile --role-name CodeDeployDemo-EC2-Instance-Profile

如果您需要获取 IAM 实例配置文件的名称，请参阅Amazon CLI 参考中 IAM 部分list-instance-profiles-for中的- role。

登录 Amazon Web Services Management Console 并打开 IAM 控制台，网址为 https://console.aws.amazon.com/iam/。

在 IAM 控制台的导航窗格中，选择策略，然后选择创建策略。

在指定权限页面上，选择 JSON。

删除示例 JSON 代码。

粘贴以下代码：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*",
                "arn:aws:s3:::aws-codedeploy-cn-north-1/*",
                "arn:aws:s3:::aws-codedeploy-cn-northwest-1/*"
            ]
        }
    ]
}

选择下一步。

在审核和创建页面上的策略名称框中，键入 CodeDeployDemo-EC2-Permissions。

（可选）对于描述，键入策略的描述。

选择 创建策略。

在导航窗格中，选择 Roles（角色），然后选择 Create role（创建角色）。

在使用案例下，选择 EC2 使用案例。

选择下一步。

在策略列表中，选中您刚刚创建的策略旁边的复选框（CodeDeployDemo-ec2- Permissions）。如有必要，请使用搜索框查找该策略。

要使用 Systems Manager 安装或配置 CodeDeploy 代理，请选中 AmazonSSM ManagedInstanceCore 旁边的复选框。此 Amazon 托管策略使实例能够使用 Systems Manager 服务核心功能。如有必要，请使用搜索框查找该策略。如果您计划使用命令行从公用 Amazon S3 存储桶安装代理，则不需要此策略。了解有关安装 CodeDeploy 代理的详细信息。

选择下一步。

在命名、查看和创建页面上的角色名称中，输入服务角色的名称（例如，CodeDeployDemo-EC2-Instance-Profile），然后选择创建角色。

您还可以在角色描述中输入此服务角色的描述。