Verwenden von serviceverknüpften Rollen für Amazon ECS

Amazon Elastic Container Service verwendet AWS Identity and Access Management (IAM) serviceverknüpfte Rollen. Eine servicebezogene Rolle ist ein einzigartiger IAM Rollentyp, der direkt mit Amazon ECS verknüpft ist. Die serviceverknüpfte Rolle ist von Amazon vordefiniert ECS und umfasst alle Berechtigungen, die der Service benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.

Eine serviceverknüpfte Rolle ECS erleichtert die Einrichtung von Amazon, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Amazon ECS definiert die Berechtigungen seiner serviceverknüpften Rollen, und sofern nicht anders definiert, ECS kann nur Amazon seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.

Informationen zu anderen Services, die servicebasierte Rollen unterstützen, finden Sie unter AWS Dienste, die mit Services arbeiten, IAM und suchen Sie in der Spalte Service-verknüpfte Rollen nach den Services, für die Ja steht. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Servicebezogene Rollenberechtigungen für Amazon ECS

Amazon ECS verwendet die mit dem Service verknüpfte Rolle mit dem Namen AWSServiceRoleForECS.

Die AWSServiceRoleForECS servicebezogene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

• ecs.amazonaws.com

Die Rollenberechtigungsrichtlinie mit dem Namen A mazonECSService RolePolicy ermöglicht es AmazonECS, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:

• Aktion: Wenn Sie den awsvpc Netzwerkmodus für Ihre ECS Amazon-Aufgaben verwenden, ECS verwaltet Amazon den Lebenszyklus der mit der Aufgabe verknüpften elastischen Netzwerkschnittstellen. Dazu gehören auch Tags, die Amazon Ihren elastischen Netzwerkschnittstellen ECS hinzufügt.

• Maßnahme: Wenn Sie einen Load Balancer mit Ihrem ECS Amazon-Service verwenden, ECS verwaltet Amazon die Registrierung und Abmeldung von Ressourcen beim Load Balancer.

• Maßnahme: Wenn Sie Amazon ECS Service Discovery verwenden, ECS verwaltet Amazon die erforderliche Route 53 und die AWS Cloud Map Ressourcen, damit Service Discovery funktioniert.

• Maßnahme: Wenn Sie Amazon ECS Service Auto Scaling verwenden, ECS verwaltet Amazon die erforderlichen Auto Scaling-Ressourcen.

• Aktion: Amazon ECS erstellt und verwaltet CloudWatch Alarme und Protokollstreams, die Sie bei der Überwachung Ihrer ECS Amazon-Ressourcen unterstützen.

• Aktion: Wenn Sie Amazon ECS Exec verwenden, ECS verwaltet Amazon die Berechtigungen, die zum Starten von Amazon ECS Exec-Sitzungen für Ihre Aufgaben erforderlich sind.

• Aktion: Bei der Verwendung von Amazon ECS Service Connect ECS verwaltet Amazon die AWS Cloud Map Ressourcen, die für die Nutzung der Funktion erforderlich sind.

• Maßnahme: Bei der Verwendung von ECS Amazon-Kapazitätsanbietern ECS verwaltet Amazon die Berechtigungen, die zum Ändern der Auto Scaling Scaling-Gruppe und ihrer EC2 Amazon-Instances erforderlich sind.

Sie müssen Berechtigungen konfigurieren, damit eine IAM-Entität (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen können. Weitere Informationen finden Sie unter Dienstbezogene Rollenberechtigungen im IAMBenutzerhandbuch.

Eine servicebezogene Rolle für Amazon erstellen ECS

In den meisten Fällen müssen Sie die serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie einen Cluster erstellen oder einen Service im AWS Management Console, dem oder dem erstellen oder aktualisieren AWS CLI, ECS erstellt Amazon die AWS API serviceverknüpfte Rolle für Sie. Wenn Sie die AWSServiceRoleForECSRolle nach dem Erstellen eines Clusters nicht sehen, gehen Sie wie folgt vor, um das Problem zu beheben:

• Überprüfen und konfigurieren Sie die Berechtigungen, ECS damit Amazon in Ihrem Namen eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter Berechtigungen für dienstbezogene Rollen im IAMBenutzerhandbuch.

• Versuchen Sie den Vorgang zur Clustererstellung erneut, oder erstellen Sie die serviceverknüpfte Rolle manuell.

  Sie können die IAM-Konsole für das Erstellen der serviceverknüpften Rolle AWSServiceRoleForECS verwenden. Erstellen Sie im AWS CLI oder im AWS API eine dienstverknüpfte Rolle mit dem ecs.amazonaws.com Dienstnamen. Weitere Informationen finden Sie unter Erstellen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Wichtig

Diese serviceverknüpfte Rolle kann in Ihrem Konto erscheinen, wenn Sie eine Aktion in einem anderen Service abgeschlossen haben, der die von dieser Rolle unterstützten Features verwendet.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie einen Cluster erstellen oder einen Service erstellen oder aktualisieren, ECS erstellt Amazon die serviceverknüpfte Rolle erneut für Sie.

Wenn Sie diese serviceverknüpfte Rolle löschen, können Sie mit demselben IAM-Verfahren die Rolle erneut erstellen.

Bearbeitung einer serviceverknüpften Rolle für Amazon ECS

Amazon erlaubt Ihnen ECS nicht, die AWSServiceRoleForECS serviceverknüpfte Rolle zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Aktualisieren einer dienstbezogenen Rolle im IAMBenutzerhandbuch.

Löschen einer serviceverknüpften Rolle für Amazon ECS

Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch die Ressourcen für Ihre serviceverknüpften Rolle zunächst bereinigen, bevor Sie sie manuell löschen können.

Anmerkung

Wenn der ECS Amazon-Service die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.

So überprüfen Sie, ob die serviceverknüpfte Rolle über eine aktive Sitzung verfügt

1. Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Wählen Sie im Navigationsbereich Roles (Rollen) und dann den AWSServiceRoleForECS -Namen (nicht das Kontrollkästchen) aus.

3. Wählen Sie auf der Seite Summary Access Advisor und überprüfen Sie die letzten Aktivitäten auf die serviceverknüpfte Rolle.

   Anmerkung

   Wenn Sie sich nicht sicher sind, ECS ob Amazon die AWSServiceRoleForECS Rolle verwendet, können Sie versuchen, die Rolle zu löschen. Wenn der Service die Rolle verwendet, schlägt die Löschung fehl und Sie können die Regionen anzeigen, in denen die Rolle verwendet wird. Wenn die Rolle verwendet wird, müssen Sie warten, bis die Sitzung beendet wird, bevor Sie die Rolle löschen können. Die Sitzung für eine serviceverknüpfte Rolle können Sie nicht widerrufen.

So entfernen Sie ECS Amazon-Ressourcen, die von der AWSServiceRoleForECS serviceverknüpften Rolle verwendet werden

Sie müssen alle ECS Amazon-Cluster in allen AWS Regionen löschen, bevor Sie die AWSServiceRoleForECS Rolle löschen können.

1. Skalieren Sie alle ECS Amazon-Dienste in allen Regionen auf die gewünschte Anzahl von 0 und löschen Sie dann die Dienste. Weitere Informationen erhalten Sie unter Einen ECS Amazon-Service mithilfe der Konsole aktualisieren und Löschen eines ECS Amazon-Service mithilfe der Konsole.

2. Erzwingen Sie die Deregistrierung aller Container-Instances aus allen Clustern in allen Regionen. Weitere Informationen finden Sie unter Abmeldung einer Amazon-Container-Instance ECS.

3. Löschen Sie alle ECS Amazon-Cluster in allen Regionen. Weitere Informationen finden Sie unter Löschen eines ECS Amazon-Clusters.

So löschen Sie die serviceverknüpfte Rolle mit IAM

Verwenden Sie die IAM Konsole, die oder AWS CLI, AWS API um die mit dem AWSServiceRoleForECS Service verknüpfte Rolle zu löschen. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Löschen einer dienstbezogenen Rolle.

Unterstützte Regionen für Rollen im ECS Zusammenhang mit Amazon Services

Amazon ECS unterstützt die Verwendung von Rollen im Zusammenhang mit Services in allen Regionen, in denen der Service verfügbar ist. Weitere Informationen finden Sie unter AWS -Regionen und -Endpunkte.