Izin diperlukan untuk konsol Amazon ECS dengan AWS CloudFormation

Konsol Amazon ECS didukung oleh AWS CloudFormation dan memerlukan izin IAM tambahan dalam kasus berikut:

• Membuat klaster

• Membuat sebuah layanan

• Membuat penyedia kapasitas

Anda dapat membuat kebijakan untuk izin tambahan, lalu melampirkannya ke peran IAM yang Anda gunakan untuk mengakses konsol. Untuk informasi selengkapnya, lihat Membuat kebijakan IAM dalam Panduan Pengguna IAM.

Izin diperlukan untuk membuat klaster

Saat membuat klaster di konsol, Anda memerlukan izin tambahan yang memberi Anda izin untuk mengelola AWS CloudFormation tumpukan.

Izin tambahan berikut diperlukan:

• cloudformation— Memungkinkan kepala sekolah untuk membuat dan mengelola tumpukan. AWS CloudFormation Ini diperlukan saat membuat cluster Amazon ECS menggunakan AWS Management Console dan pengelolaan cluster tersebut selanjutnya.

• ssm- Memungkinkan AWS CloudFormation untuk mereferensikan AMI Amazon ECS terbaru yang dioptimalkan. Ini diperlukan saat membuat cluster Amazon ECS menggunakan file. AWS Management Console

Kebijakan berikut berisi AWS CloudFormation izin yang diperlukan, dan membatasi tindakan ke sumber daya yang dibuat di konsol Amazon ECS.

{
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack"
             ],
            "Resource": [
                "arn:*:cloudformation:*:*:stack/Infra-ECS-Cluster-*"
            ]
      },
      {
          "Effect": "Allow",
          "Action": "ssm:GetParameters",
          "Resource": [
            "arn:aws:ssm:*:*:parameter/aws/service/ecs/optimized-ami/amazon-linux-2*/*",
            "arn:aws:ssm:*:*:parameter/aws/service/ecs/optimized-ami/amazon-linux-2023*/*"
          ]
      }
   ]
}

Jika Anda belum membuat role instance container Amazon ECS (ecsInstanceRole), dan Anda membuat klaster yang menggunakan EC2 instans Amazon, konsol akan membuat peran tersebut atas nama Anda.

Selain itu, jika Anda menggunakan grup Auto Scaling, maka Anda memerlukan izin tambahan agar konsol dapat menambahkan tag ke grup penskalaan otomatis saat menggunakan fitur penskalaan otomatis cluster.

Izin tambahan berikut diperlukan:

• autoscaling— Memungkinkan konsol untuk menandai grup Amazon EC2 Auto Scaling. Ini diperlukan saat mengelola grup penskalaan EC2 otomatis Amazon saat menggunakan fitur penskalaan otomatis cluster. Tag adalah tag yang dikelola ECS yang secara otomatis ditambahkan konsol ke grup untuk menunjukkan dibuat di konsol.

• iam— Memungkinkan kepala sekolah untuk membuat daftar peran IAM dan kebijakan terlampir mereka. Prinsipal juga dapat mencantumkan profil instans yang tersedia untuk instans Amazon Anda. EC2

Kebijakan berikut berisi izin IAM yang diperlukan, dan membatasi tindakan untuk peran. ecsInstanceRole

Izin Auto Scaling tidak terbatas.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:CreateInstanceProfile",
              "iam:AddRoleToInstanceProfile",
              "iam:ListInstanceProfilesForRole",
              "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::*:role/ecsInstanceRole"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:CreateOrUpdateTags",
            "Resource": "*"
        }
    ]
}

Izin yang diperlukan untuk membuat layanan

Saat membuat layanan di konsol, Anda memerlukan izin tambahan yang memberi Anda izin untuk mengelola AWS CloudFormation tumpukan. Izin tambahan berikut diperlukan:

• cloudformation— Memungkinkan kepala sekolah untuk membuat dan mengelola tumpukan. AWS CloudFormation Ini diperlukan saat membuat layanan Amazon ECS menggunakan AWS Management Console dan pengelolaan selanjutnya dari layanan tersebut.

Kebijakan berikut berisi izin yang diperlukan, dan membatasi tindakan ke sumber daya yang dibuat di konsol Amazon ECS.

{
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack"
             ],
            "Resource": [
                "arn:*:cloudformation:*:*:stack/ECS-Console-V2-Service-*"
            ]
      }
   ]
}