AWS Batch Ausführung, IAM-Rolle

Die Ausführungsrolle erteilt dem Amazon ECS-Container und den AWS Fargate Agenten die Erlaubnis, AWS API-Aufrufe in Ihrem Namen durchzuführen.

Anmerkung

Die Ausführungsrolle wird vom Amazon ECS-Container-Agenten Version 1.16.0 und höher unterstützt.

Die Ausführungs-IAM-Rolle ist je nach den Anforderungen Ihrer Aufgabe erforderlich. Sie können mehrere Ausführungsrollen für unterschiedliche Zwecke und Dienste haben, die mit Ihrem Konto verknüpft sind.

Anmerkung

Informationen zur Amazon ECS-Instance-Rolle finden Sie unterAmazon-ECS-Instance-Rolle. Informationen zu Servicerollen finden Sie unterWie AWS Batch funktioniert mit IAM.

Amazon ECS stellt die AmazonECSTaskExecutionRolePolicy verwaltete Richtlinie bereit. Diese Richtlinie enthält die erforderlichen Berechtigungen für die oben beschriebenen allgemeinen Anwendungsfälle. Für die unten beschriebenen speziellen Anwendungsfälle kann es erforderlich sein, Ihrer Ausführungsrolle Inline-Richtlinien hinzuzufügen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "*"
    }
  ]
}

Mithilfe des folgenden Verfahrens können Sie überprüfen, ob Ihr Konto bereits über die Ausführungsrolle verfügt, und bei Bedarf die verwaltete IAM-Richtlinie anhängen.

So prüfen Sie ecsTaskExecutionRole in der IAM-Konsole

1. Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Wählen Sie im Navigationsbereich Rollen aus.

3. Suchen Sie in der Liste der Rollen nach ecsTaskExecutionRole. Wenn Sie die Rolle nicht finden können, finden Sie weitere Informationen unterDie IAM-Ausführungsrolle wird erstellt. Wenn Sie die Rolle gefunden haben, wählen Sie die Rolle aus, um die angehängten Richtlinien einzusehen.

4. Stellen Sie auf der Registerkarte Berechtigungen sicher, dass die von AmazonECS TaskExecution RolePolicy verwaltete Richtlinie mit der Rolle verknüpft ist. Wenn die Richtlinie angehängt ist, ist Ihre Ausführungsrolle ordnungsgemäß konfiguriert. Andernfalls führen Sie die folgenden Teilschritte aus, um die Richtlinie zuzuweisen.

   1. Wählen Sie „Berechtigungen hinzufügen“ und anschließend „Richtlinien anhängen“.

   2. Suchen Sie nach AmazonECS TaskExecution RolePolicy.

   3. Markieren Sie das Kästchen links neben der TaskExecutionRolePolicyAmazonECS-Richtlinie und wählen Sie Richtlinien anhängen aus.

5. Wählen Sie Trust Relationships (Vertrauensbeziehungen) aus.

6. Überprüfen Sie, dass die Vertrauensstellung die folgende Richtlinie enthält. Wenn das Vertrauensverhältnis mit der folgenden Richtlinie übereinstimmt, ist die Rolle korrekt konfiguriert. Wenn die Vertrauensstellung nicht übereinstimmt, wählen Sie Vertrauensrichtlinie bearbeiten, geben Sie Folgendes ein und wählen Sie Richtlinie aktualisieren aus.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "",
         "Effect": "Allow",
         "Principal": {
           "Service": "ecs-tasks.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

Die IAM-Ausführungsrolle wird erstellt

Wenn Ihr Konto noch nicht über eine Ausführungsrolle verfügt, gehen Sie wie folgt vor, um die Rolle zu erstellen.

Um die ecsTaskExecutionRole IAM-Rolle zu erstellen

1. Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Wählen Sie im Navigationsbereich Roles (Rolle) aus.

3. Wählen Sie Rolle erstellen aus.

4. Wählen Sie unter Vertrauenswürdiger Entitätstyp die Option AWS-Service.

5. Wählen Sie für Service oder Anwendungsfall EC2 aus. Wählen Sie dann erneut EC2.

6. Wählen Sie Weiter aus.

7. Suchen Sie für Berechtigungsrichtlinien nach AmazonECS TaskExecution RolePolicy.

8. Aktivieren Sie das Kontrollkästchen links neben der TaskExecutionRolePolicyAmazonECS-Richtlinie und klicken Sie dann auf Weiter.

9. Geben Sie als Rollenname den Text Rolle erstellen ein ecsTaskExecutionRole und wählen Sie dann Create role aus.