Anfügen einer IAM-Rolle an eine Instance

Sie können eine IAM-Rolle erstellen und sie während des Starts oder danach einer Instance anfügen. Sie können IAM-Rollen auch ersetzen oder trennen.

Um einer Instance beim Start über die EC2 Amazon-Konsole eine IAM-Rolle zuzuweisen, erweitern Sie Erweiterte Details. Bei IAM-Instance-Profil wählen Sie die IAM-Rolle.

Anmerkung

Wenn Sie die IAM-Rolle mit der IAM-Konsole erstellt haben, wurde das Instance-Profil für Sie angelegt und hat denselben Namen wie die Rolle erhalten. Wenn Sie Ihre IAM-Rolle mithilfe der AWS CLI API oder eines AWS SDK erstellt haben, haben Sie Ihrem Instance-Profil möglicherweise einen anderen Namen als der Rolle gegeben.

Sie können einer Instance, die ausgeführt wird oder gestoppt wird, eine IAM-Rolle anfügen. Wenn der Instance bereits eine IAM-Rolle zugewiesen ist, müssen Sie diese durch die neue IAM-Rolle ersetzen.

Console

So fügen Sie einer Instance eine IAM-Rolle an

1. Öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

2. Wählen Sie im Navigationsbereich Instances aus.

3. Wählen Sie die Instance aus.

4. Wählen Sie Actions (Aktionen), Security (Sicherheit), Modify IAM role (IAM-Rolle ändern) aus.

5. Für IAM-Rolle wählen Sie das IAM-Instance-Profil.

6. Wählen Sie IAM-Rolle aktualisieren.

AWS CLI

So fügen Sie einer Instance eine IAM-Rolle an

Verwenden Sie den associate-iam-instance-profileBefehl, um der Instance die IAM-Rolle zuzuweisen. Wenn Sie das Instance-Profil angeben, können Sie entweder den Amazon-Ressourcenname (ARN) des Instance-Profils oder dessen Namen verwenden.

aws ec2 associate-iam-instance-profile \
    --instance-id i-1234567890abcdef0 \
    --iam-instance-profile Name="TestRole-1"

Es folgt eine Beispielausgabe.

{
    "IamInstanceProfileAssociation": {
        "InstanceId": "i-1234567890abcdef0", 
        "State": "associating", 
        "AssociationId": "iip-assoc-0dbd8529a48294120", 
        "IamInstanceProfile": {
            "Id": "AIPAJLNLDX3AMYZNWYYAY", 
            "Arn": "arn:aws:iam::123456789012:instance-profile/TestRole-1"
        }
    }
}

PowerShell

So fügen Sie einer Instance eine IAM-Rolle an

• Get-EC2Instance

• Register-EC2IamInstanceProfile

Um die IAM-Rolle in einer Instance zu ersetzen, an die bereits eine IAM-Rolle angefügt ist, muss sich die Instance im Zustand running befinden. Sie können dies tun, wenn Sie die IAM-Rolle für eine Instance ändern möchten, ohne zuvor die vorhandene Instance zu trennen. Sie können dies beispielsweise tun, um sicherzustellen, dass die von Anwendungen auf der Instance ausgeführten API-Aktionen nicht unterbrochen werden.

Console

So ersetzen Sie eine IAM-Rolle für eine Instance

1. Öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

2. Wählen Sie im Navigationsbereich Instances aus.

3. Wählen Sie die Instance aus.

4. Wählen Sie Actions (Aktionen), Security (Sicherheit), Modify IAM role (IAM-Rolle ändern) aus.

5. Für IAM-Rolle wählen Sie das IAM-Instance-Profil.

6. Wählen Sie IAM-Rolle aktualisieren.

AWS CLI

So ersetzen Sie eine IAM-Rolle für eine Instance

1. Falls erforderlich, beschreiben Sie Ihre IAM-Instance-Profilverknüpfungen, um die Verknüpfungs-ID für das IAM-Instance-Profil zu erhalten, das Sie ersetzen möchten.

   aws ec2 describe-iam-instance-profile-associations

2. Verwenden Sie den Befehl replace-iam-instance-profile-association, um das IAM-Instanzprofil zu ersetzen, indem Sie die Zuordnungs-ID für das vorhandene Instanzprofil und den ARN oder Namen des Instanzprofils angeben, das es ersetzen soll.

   aws ec2 replace-iam-instance-profile-association \
       --association-id iip-assoc-0044d817db6c0a4ba \
       --iam-instance-profile Name="TestRole-2"

   Es folgt eine Beispielausgabe.

   {
       "IamInstanceProfileAssociation": {
           "InstanceId": "i-087711ddaf98f9489", 
           "State": "associating", 
           "AssociationId": "iip-assoc-09654be48e33b91e0", 
           "IamInstanceProfile": {
               "Id": "AIPAJCJEDKX7QYHWYK7GS", 
               "Arn": "arn:aws:iam::123456789012:instance-profile/TestRole-2"
           }
       }
   }

PowerShell

So ersetzen Sie eine IAM-Rolle für eine Instance

• Get-EC2IamInstanceProfileAssociation

• Set-EC2IamInstanceProfileAssociation

Sie können eine IAM-Rolle von einer laufenden oder angehaltenen Instance trennen.

Console

So trennen Sie eine IAM-Rolle von einer Instance

1. Öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

2. Wählen Sie im Navigationsbereich Instances aus.

3. Wählen Sie die Instance aus.

4. Wählen Sie Actions (Aktionen), Security (Sicherheit), Modify IAM role (IAM-Rolle ändern) aus.

5. Klicken Sie unter IAM-Rolle auf die Option Keine IAM-Rolle.

6. Wählen Sie IAM-Rolle aktualisieren.

7. Wenn Sie zur Bestätigung aufgefordert werden, geben Sie Abhängen ein und wählen Sie dann Abhängen aus.

AWS CLI

So trennen Sie eine IAM-Rolle von einer Instance

1. Verwenden Sie bei Bedarf describe-iam-instance-profile-associations, um Ihre IAM-Instance-Profilzuordnungen zu beschreiben und die Zuordnungs-ID für das zu trennende IAM-Instance-Profil abzurufen.

   aws ec2 describe-iam-instance-profile-associations

   Es folgt eine Beispielausgabe.

   {
       "IamInstanceProfileAssociations": [
           {
               "InstanceId": "i-088ce778fbfeb4361", 
               "State": "associated", 
               "AssociationId": "iip-assoc-0044d817db6c0a4ba", 
               "IamInstanceProfile": {
                   "Id": "AIPAJEDNCAA64SSD265D6", 
                   "Arn": "arn:aws:iam::123456789012:instance-profile/TestRole-2"
               }
           }
       ]
   }

2. Verwenden Sie den disassociate-iam-instance-profileBefehl, um das IAM-Instanzprofil anhand seiner Zuordnungs-ID zu trennen.

   aws ec2 disassociate-iam-instance-profile --association-id iip-assoc-0044d817db6c0a4ba

   Es folgt eine Beispielausgabe.

   {
       "IamInstanceProfileAssociation": {
           "InstanceId": "i-087711ddaf98f9489", 
           "State": "disassociating", 
           "AssociationId": "iip-assoc-0044d817db6c0a4ba", 
           "IamInstanceProfile": {
               "Id": "AIPAJEDNCAA64SSD265D6", 
               "Arn": "arn:aws:iam::123456789012:instance-profile/TestRole-2"
           }
       }
   }

PowerShell

So trennen Sie eine IAM-Rolle von einer Instance

• Get-EC2IamInstanceProfileAssociation

• Unregister-EC2IamInstanceProfile