Für die ECS Amazon-Konsole sind Berechtigungen erforderlich

Nach den bewährten Methoden zur Erteilung von geringsten Privilegien können Sie die von AmazonECS_FullAccess verwaltete Richtlinie als Vorlage zum Erstellen eigener benutzerdefinierter Richtlinien verwenden. Auf diese Weise können Sie Berechtigungen zu und aus der verwalteten Richtlinie basierend auf Ihren spezifischen Anforderungen entfernen oder hinzufügen. Weitere Informationen finden Sie unter Details zu Berechtigungen.

Die ECS Amazon-Konsole wird betrieben von AWS CloudFormation und benötigt in den folgenden Fällen zusätzliche IAM Berechtigungen:

• Erstellen eines Clusters

• Erstellen eines Service

• Erstellen eines Kapazitätsanbieters

Sie können eine Richtlinie für die zusätzlichen Berechtigungen erstellen und sie dann der IAM Rolle zuordnen, die Sie für den Zugriff auf die Konsole verwenden. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter IAMRichtlinien erstellen.

Für die Erstellung eines Clusters sind Berechtigungen erforderlich

Wenn Sie einen Cluster in der Konsole erstellen, benötigen Sie zusätzliche Berechtigungen, die Ihnen Berechtigungen zur Verwaltung von AWS CloudFormation Stacks gewähren.

Die folgende zusätzliche Berechtigung ist erforderlich:

• cloudformation: Ermöglicht Prinzipalen das Erstellen und Verwalten von AWS CloudFormation -Stapeln. Dies ist erforderlich, wenn ECS Amazon-Cluster mithilfe der Cluster erstellt AWS Management Console und anschließend verwaltet werden.

Die folgende Richtlinie enthält die erforderlichen AWS CloudFormation Berechtigungen und beschränkt die Aktionen auf Ressourcen, die in der ECS Amazon-Konsole erstellt wurden.

{
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack"
             ],
            "Resource": [
                "arn:*:cloudformation:*:*:stack/Infra-ECS-Cluster-*"
            ]
      }
   ]
}

Wenn Sie die ECS Amazon-Container-Instance-Rolle (ecsInstanceRole) nicht erstellt haben und einen Cluster erstellen, der EC2 Amazon-Instances verwendet, erstellt die Konsole die Rolle in Ihrem Namen.

Wenn Sie Auto Scaling Scaling-Gruppen verwenden, benötigen Sie außerdem zusätzliche Berechtigungen, damit die Konsole den Auto Scaling-Gruppen Tags hinzufügen kann, wenn Sie die Cluster-Auto-Scaling-Funktion verwenden.

Die folgende zusätzliche Berechtigung ist erforderlich:

• autoscaling— Ermöglicht der Konsole, die Amazon EC2 Auto Scaling Scaling-Gruppe zu taggen. Dies ist erforderlich, wenn Sie Amazon EC2 Auto Scaling-Gruppen verwalten und die Cluster-Auto-Scaling-Funktion verwenden. Das Tag ist das Tag ECS -managed, das die Konsole der Gruppe automatisch hinzufügt, um anzuzeigen, dass es in der Konsole erstellt wurde.

• iam— Ermöglicht Prinzipalen, IAM Rollen und die ihnen zugewiesenen Richtlinien aufzulisten. Principals können auch Instance-Profile auflisten, die für Ihre EC2 Amazon-Instances verfügbar sind.

Die folgende Richtlinie enthält die erforderlichen IAM Berechtigungen und beschränkt die Aktionen auf die ecsInstanceRole Rolle.

Die Auto-Scaling-Berechtigungen sind nicht begrenzt.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:CreateInstanceProfile",
              "iam:AddRoleToInstanceProfile",
              "iam:ListInstanceProfilesForRole",
              "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::*:role/ecsInstanceRole"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:CreateOrUpdateTags",
            "Resource": "*"
        }
    ]
}

Für die Erstellung eines Kapazitätsanbieters erforderliche Berechtigungen

Wenn Sie einen Dienst in der Konsole erstellen, benötigen Sie zusätzliche Berechtigungen, die Ihnen Berechtigungen zur Verwaltung von AWS CloudFormation Stacks gewähren. Die folgende zusätzliche Berechtigung ist erforderlich:

• cloudformation: Ermöglicht Prinzipalen das Erstellen und Verwalten von AWS CloudFormation -Stapeln. Dies ist erforderlich, wenn ECS Amazon-Kapazitätsanbieter mithilfe dieser Kapazitätsanbieter erstellt AWS Management Console und anschließend verwaltet werden.

Die folgende Richtlinie enthält die erforderlichen Berechtigungen und beschränkt die Aktionen auf Ressourcen, die in der ECS Amazon-Konsole erstellt wurden.

{
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack"
             ],
            "Resource": [
                "arn:*:cloudformation:*:*:stack/Infra-ECS-CapacityProvider-*"
            ]
      }
   ]
}

Für die Erstellung eines Services sind Berechtigungen erforderlich

Wenn Sie einen Dienst in der Konsole erstellen, benötigen Sie zusätzliche Berechtigungen, die Ihnen Berechtigungen zur Verwaltung von AWS CloudFormation Stacks gewähren. Die folgende zusätzliche Berechtigung ist erforderlich:

• cloudformation: Ermöglicht Prinzipalen das Erstellen und Verwalten von AWS CloudFormation -Stapeln. Dies ist erforderlich, wenn ECS Amazon-Services mithilfe dieser Dienste erstellt AWS Management Console und anschließend verwaltet werden.

Die folgende Richtlinie enthält die erforderlichen Berechtigungen und beschränkt die Aktionen auf Ressourcen, die in der ECS Amazon-Konsole erstellt wurden.

{
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack"
             ],
            "Resource": [
                "arn:*:cloudformation:*:*:stack/ECS-Console-V2-Service-*"
            ]
      }
   ]
}

Berechtigungen zum Erstellen von IAM Rollen

Für die folgenden Aktionen sind zusätzliche Berechtigungen erforderlich, um den Vorgang abzuschließen:

• Registrieren einer externen Instance – weitere Informationen finden Sie unter Amazon ECS IAM Anywhere-Rolle

• Registrieren einer Aufgabendefinition – für weitere Informationen erhalten Sie unter Rolle bei der Ausführung von ECS IAM Amazon-Aufgaben

• Eine EventBridge Regel zur Planung von Aufgaben erstellen — weitere Informationen finden Sie unter ECS EventBridge IAMRolle bei Amazon

Sie können diese Berechtigungen hinzufügen, indem Sie eine Rolle in erstellen, IAM bevor Sie sie in der ECS Amazon-Konsole verwenden. Wenn Sie die Rollen nicht erstellen, erstellt die ECS Amazon-Konsole sie in Ihrem Namen.

Für die Registrierung einer externen Instance in einem Cluster sind Berechtigungen erforderlich

Sie benötigen zusätzliche Berechtigungen, wenn Sie eine externe Instance in einem Cluster registrieren und eine neue externe Instance-Rolle (escExternalInstanceRole) erstellen möchten.

Die folgende zusätzliche Berechtigung ist erforderlich:

• iam— Ermöglicht Prinzipalen das Erstellen und Auflisten von IAM Rollen und den zugehörigen Richtlinien.

• ssm – Ermöglicht es Prinzipalen, die externe Instance bei Systems Manager zu registrieren.

Anmerkung

Um eine vorhandene escExternalInstanceRole auswählen zu können, benötigen Sie die Berechtigungen iam:GetRole und iam:PassRole.

Die folgende Richtlinie enthält die erforderlichen Berechtigungen und beschränkt die Aktionen auf die escExternalInstanceRole-Rolle.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:CreateInstanceProfile",
              "iam:AddRoleToInstanceProfile",
              "iam:ListInstanceProfilesForRole",
              "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::*:role/escExternalInstanceRole"
        },
        {
            "Effect": "Allow",
            "Action": ["iam:PassRole","ssm:CreateActivation"],
            "Resource": "arn:aws:iam::*:role/escExternalInstanceRole"
        }
    ]
}

Für die Registrierung einer Aufgabendefinition sind Berechtigungen erforderlich

Sie benötigen zusätzliche Berechtigungen, wenn Sie eine Aufgabendefinition registrieren und eine neue Aufgabenausführungsrolle (ecsTaskExecutionRole) erstellen möchten.

Die folgende zusätzliche Berechtigung ist erforderlich:

• iam— Ermöglicht Prinzipalen das Erstellen und Auflisten von IAM Rollen und den zugehörigen Richtlinien.

Anmerkung

Um eine vorhandene ecsTaskExecutionRole auswählen zu können, benötigen Sie die Berechtigung iam:GetRole.

Die folgende Richtlinie enthält die erforderlichen Berechtigungen und beschränkt die Aktionen auf die ecsTaskExecutionRole-Rolle.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::*:role/ecsTaskExecutionRole"
        }
    ]
}

Für die Erstellung einer EventBridge Regel für geplante Aufgaben sind Berechtigungen erforderlich

Sie benötigen zusätzliche Berechtigungen, wenn Sie eine Aufgabe planen und eine neue Rolle der Rolle „ CloudWatch Ereignisse“ (ecsEventsRole) erstellen möchten.

Die folgende zusätzliche Berechtigung ist erforderlich:

• iam— Ermöglicht es Principals, IAM Rollen und die zugehörigen Richtlinien zu erstellen und aufzulisten und Amazon ECS zu ermöglichen, die Rolle an andere Dienste weiterzugeben, um die Rolle zu übernehmen.

Anmerkung

Um eine vorhandene ecsEventsRole auswählen zu können, benötigen Sie die Berechtigungen iam:GetRole und iam:PassRole.

Die folgende Richtlinie enthält die erforderlichen Berechtigungen und beschränkt die Aktionen auf die ecsEventsRole-Rolle.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:GetRole",
              "iam: PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/ecsEventsRole"
        }
    ]
}