IAMInstanzprofile für AWS Parallel Computing Service

Anwendungen, die auf einer EC2 Instanz ausgeführt werden, müssen in allen AWS API Anfragen, die sie stellen, AWS Anmeldeinformationen enthalten. Wir empfehlen, eine IAM Rolle zu verwenden, um temporäre Anmeldeinformationen auf der EC2 Instanz zu verwalten. Sie können zu diesem Zweck ein Instanzprofil definieren und es an Ihre Instances anhängen. Weitere Informationen finden Sie unter IAMRollen für Amazon EC2 im Amazon Elastic Compute Cloud-Benutzerhandbuch.

Anmerkung

Wenn Sie die verwenden, AWS Management Console um eine IAM Rolle für Amazon zu erstellenEC2, erstellt die Konsole automatisch ein Instance-Profil und weist diesem den gleichen Namen wie die IAM Rolle zu. Wenn Sie zum Erstellen der IAM Rolle die AWS API Aktionen AWS CLI, oder AWS SDK an verwenden, erstellen Sie das Instance-Profil als separate Aktion. Weitere Informationen finden Sie unter Instanzprofile im Amazon Elastic Compute Cloud-Benutzerhandbuch.

Sie müssen das ARN eines Instance-Profils angeben, wenn Sie Compute-Knotengruppen erstellen. Sie können verschiedene Instanzprofile für einige oder alle Compute-Knotengruppen auswählen.

Anforderungen an das Instanzprofil

Name des Instanzprofils

Das IAM Instanzprofil ARN muss entweder mit dem Pfad beginnen AWSPCS oder diesen enthalten/aws-pcs/.

• arn:aws:iam::*:instance-profile/AWSPCS-example-role-1 und

• arn:aws:iam::*:instance-profile/aws-pcs/example-role-2.

Berechtigungen

Das Instanzprofil für AWS PCS muss mindestens die folgende Richtlinie enthalten. Es ermöglicht Rechenknoten, den AWS PCS Dienst zu benachrichtigen, wenn sie betriebsbereit sind.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "pcs:RegisterComputeNodeGroupInstance"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Zusätzliche Richtlinien

Sie könnten erwägen, verwaltete Richtlinien zum Instanzprofil hinzuzufügen. Beispielsweise:

• AmazonS3 ReadOnlyAccess bietet schreibgeschützten Zugriff auf alle S3-Buckets.

• A mazonSSMManaged InstanceCore aktiviert die Kernfunktionen des AWS Systems Manager Manager-Service, z. B. den Fernzugriff direkt von der Amazon Management Console aus.

• CloudWatchAgentServerPolicyenthält Berechtigungen, die für die Verwendung AmazonCloudWatchAgent auf Servern erforderlich sind.

Sie können auch Ihre eigenen IAM Richtlinien angeben, die Ihren speziellen Anwendungsfall unterstützen.

Erstellen eines Instance-Profils

Sie können ein Instance-Profil direkt von der EC2 Amazon-Konsole aus erstellen. Weitere Informationen finden Sie unter Verwenden von Instance-Profilen im AWS Identity and Access Management Benutzerhandbuch.