Autorisations IAM requises pour le dimensionnement automatique du service Amazon ECS

Service Auto Scaling est rendu possible par une combinaison des API Amazon ECS et Application Auto Scaling. CloudWatch Les services sont créés et mis à jour avec Amazon ECS, les alarmes sont créées avec CloudWatch Application Auto Scaling et les politiques de dimensionnement sont créées avec Application Auto Scaling.

Outre les autorisations IAM standard pour créer et mettre à jour des services, les autorisations suivantes sont requises pour interagir avec les paramètres de Service Auto Scaling, comme indiqué dans l'exemple de politique suivant.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:*",
                "ecs:DescribeServices",
                "ecs:UpdateService",
                "cloudwatch:DescribeAlarms",
                "cloudwatch:PutMetricAlarm",
                "cloudwatch:DeleteAlarms",
                "cloudwatch:DescribeAlarmHistory",
                "cloudwatch:DescribeAlarmsForMetric",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:ListMetrics",
                "cloudwatch:DisableAlarmActions",
                "cloudwatch:EnableAlarmActions",
                "iam:CreateServiceLinkedRole",
                "sns:CreateTopic",
                "sns:Subscribe",
                "sns:Get*",
                "sns:List*"
            ],
            "Resource": ["*"]
        }
    ]
}

Les exemples de politique IAM Créer un exemple de service Amazon ECS et Exemple de mise à jour du service Amazon ECS présentent les autorisations nécessaires pour utiliser Service Auto Scaling dans la AWS Management Console.

Le service Application Auto Scaling a également besoin d'une autorisation pour décrire vos services et CloudWatch alarmes Amazon ECS, ainsi que d'autorisations pour modifier le nombre souhaité pour votre service en votre nom. Les sns: autorisations concernent les notifications CloudWatch envoyées à une rubrique Amazon SNS lorsqu'un seuil est dépassé. Si vous utilisez la scalabilité automatique pour vos services Amazon ECS services, elle crée un rôle lié à un service nommé AWSServiceRoleForApplicationAutoScaling_ECSService. Ce rôle lié à un service accorde l'autorisation Application Auto Scaling de décrire les alarmes de vos politiques, de contrôler le nombre de tâches en cours d'exécution du service et de modifier le nombre souhaité du service. Le rôle d'origine géré par Amazon ECS pour Application Auto Scaling était ecsAutoscaleRole, mais il n'est plus nécessaire. Le rôle lié à un service est le rôle par défaut pour Application Auto Scaling. Pour plus d'informations, consultez Rôles liés aux services pour Application Auto Scaling dans le Guide de l'utilisateur Application Auto Scaling.

Si vous avez créé votre rôle d'instance de conteneur Amazon ECS avant que les CloudWatch métriques ne soient disponibles pour Amazon ECS, vous devrez peut-être ajouter l'ecs:StartTelemetrySessionautorisation. Pour plus d’informations, consultez Considérations.