Izin diperlukan untuk konsol Amazon ECS

Mengikuti praktik terbaik pemberian hak istimewa paling rendah, Anda dapat menggunakan kebijakan terkelola AmazonECS_FullAccess sebagai templat untuk membuat kebijakan kustom Anda sendiri. Dengan begitu, Anda dapat mengambil atau menambahkan izin ke dan dari kebijakan terkelola berdasarkan kebutuhan khusus Anda. Untuk informasi selengkapnya, lihat Detail izin.

Konsol Amazon ECS didukung oleh AWS CloudFormation dan memerlukan izin IAM tambahan dalam kasus berikut:

• Membuat klaster

• Membuat sebuah layanan

• Menciptakan penyedia kapasitas

Anda dapat membuat kebijakan untuk izin tambahan, lalu melampirkannya ke peran IAM yang Anda gunakan untuk mengakses konsol. Untuk informasi selengkapnya, lihat Membuat kebijakan IAM dalam Panduan Pengguna IAM.

Izin yang diperlukan untuk membuat klaster

Saat membuat klaster di konsol, Anda memerlukan izin tambahan yang memberi Anda izin untuk mengelola AWS CloudFormation tumpukan.

Izin tambahan berikut diperlukan:

• cloudformation— Memungkinkan kepala sekolah untuk membuat dan mengelola tumpukan. AWS CloudFormation Ini diperlukan saat membuat cluster Amazon ECS menggunakan AWS Management Console dan pengelolaan cluster tersebut selanjutnya.

Kebijakan berikut berisi AWS CloudFormation izin yang diperlukan, dan membatasi tindakan ke sumber daya yang dibuat di konsol Amazon ECS.

{
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack"
             ],
            "Resource": [
                "arn:*:cloudformation:*:*:stack/Infra-ECS-Cluster-*"
            ]
      }
   ]
}

Jika Anda belum membuat peran instans penampung Amazon ECS (ecsInstanceRole), dan Anda membuat klaster yang menggunakan instans Amazon EC2, konsol akan membuat peran tersebut atas nama Anda.

Selain itu, jika Anda menggunakan grup Auto Scaling, maka Anda memerlukan izin tambahan agar konsol dapat menambahkan tag ke grup penskalaan otomatis saat menggunakan fitur penskalaan otomatis cluster.

Izin tambahan berikut diperlukan:

• autoscaling— Memungkinkan konsol untuk menandai grup Auto Scaling Amazon EC2. Ini diperlukan saat mengelola grup penskalaan otomatis Amazon EC2 saat menggunakan fitur penskalaan otomatis cluster. Tag adalah tag yang dikelola ECS yang secara otomatis ditambahkan konsol ke grup untuk menunjukkan dibuat di konsol.

• iam— Memungkinkan kepala sekolah untuk membuat daftar peran IAM dan kebijakan terlampir mereka. Prinsipal juga dapat mencantumkan profil instans yang tersedia untuk instans Amazon EC2 Anda.

Kebijakan berikut berisi izin IAM yang diperlukan, dan membatasi tindakan untuk peran. ecsInstanceRole

Izin Auto Scaling tidak terbatas.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:CreateInstanceProfile",
              "iam:AddRoleToInstanceProfile",
              "iam:ListInstanceProfilesForRole",
              "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::*:role/ecsInstanceRole"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:CreateOrUpdateTags",
            "Resource": "*"
        }
    ]
}

Izin yang diperlukan untuk membuat penyedia kapasitas

Saat membuat layanan di konsol, Anda memerlukan izin tambahan yang memberi Anda izin untuk mengelola AWS CloudFormation tumpukan. Izin tambahan berikut diperlukan:

• cloudformation— Memungkinkan kepala sekolah untuk membuat dan mengelola tumpukan. AWS CloudFormation Ini diperlukan saat membuat penyedia kapasitas Amazon ECS menggunakan AWS Management Console dan pengelolaan berikutnya dari penyedia kapasitas tersebut.

Kebijakan berikut berisi izin yang diperlukan, dan membatasi tindakan ke sumber daya yang dibuat di konsol Amazon ECS.

{
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack"
             ],
            "Resource": [
                "arn:*:cloudformation:*:*:stack/Infra-ECS-CapacityProvider-*"
            ]
      }
   ]
}

Izin yang diperlukan untuk membuat layanan

Saat membuat layanan di konsol, Anda memerlukan izin tambahan yang memberi Anda izin untuk mengelola AWS CloudFormation tumpukan. Izin tambahan berikut diperlukan:

• cloudformation— Memungkinkan kepala sekolah untuk membuat dan mengelola tumpukan. AWS CloudFormation Ini diperlukan saat membuat layanan Amazon ECS menggunakan AWS Management Console dan pengelolaan selanjutnya dari layanan tersebut.

Kebijakan berikut berisi izin yang diperlukan, dan membatasi tindakan ke sumber daya yang dibuat di konsol Amazon ECS.

{
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack"
             ],
            "Resource": [
                "arn:*:cloudformation:*:*:stack/ECS-Console-V2-Service-*"
            ]
      }
   ]
}

Izin untuk membuat peran IAM

Tindakan berikut memerlukan izin tambahan untuk menyelesaikan operasi:

• Mendaftarkan instance eksternal - untuk informasi selengkapnya, lihat Peran IAM Amazon ECS Anywhere

• Mendaftarkan definisi tugas - untuk informasi lebih lanjut, lihat Peran IAM eksekusi tugas Amazon ECS

• Membuat EventBridge aturan yang akan digunakan untuk menjadwalkan tugas - untuk informasi selengkapnya, lihat Peran Amazon ECS EventBridge IAM

Anda dapat menambahkan izin ini dengan membuat peran di IAM sebelum menggunakannya di konsol Amazon ECS. Jika Anda tidak membuat peran, konsol Amazon ECS akan membuatnya atas nama Anda.

Izin yang diperlukan untuk mendaftarkan instance eksternal ke cluster

Anda memerlukan izin tambahan saat mendaftarkan instance eksternal ke klaster dan Anda ingin membuat peran instance eksternal (escExternalInstanceRole) baru.

Izin tambahan berikut diperlukan:

• iam— Memungkinkan kepala sekolah untuk membuat dan membuat daftar peran IAM dan kebijakan terlampir mereka.

• ssm— Memungkinkan prinsipal untuk mendaftarkan instance eksternal dengan Systems Manager.

catatan

Untuk memilih yang sudah adaescExternalInstanceRole, Anda harus memiliki iam:GetRole dan iam:PassRole izin.

Kebijakan berikut berisi izin yang diperlukan, dan membatasi tindakan untuk escExternalInstanceRole peran.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:CreateInstanceProfile",
              "iam:AddRoleToInstanceProfile",
              "iam:ListInstanceProfilesForRole",
              "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::*:role/escExternalInstanceRole"
        },
        {
            "Effect": "Allow",
            "Action": ["iam:PassRole","ssm:CreateActivation"],
            "Resource": "arn:aws:iam::*:role/escExternalInstanceRole"
        }
    ]
}

Izin yang diperlukan untuk mendaftarkan definisi tugas

Anda memerlukan izin tambahan saat mendaftarkan definisi tugas dan Anda ingin membuat peran eksekusi tugas (ecsTaskExecutionRole) baru.

Izin tambahan berikut diperlukan:

• iam— Memungkinkan kepala sekolah untuk membuat dan membuat daftar peran IAM dan kebijakan terlampir mereka.

catatan

Untuk memilih yang sudah adaecsTaskExecutionRole, Anda harus memiliki iam:GetRole izin.

Kebijakan berikut berisi izin yang diperlukan, dan membatasi tindakan untuk ecsTaskExecutionRole peran.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::*:role/ecsTaskExecutionRole"
        }
    ]
}

Izin diperlukan untuk membuat EventBridge aturan untuk tugas terjadwal

Anda memerlukan izin tambahan saat menjadwalkan tugas dan Anda ingin membuat peran peran (ecsEventsRole) CloudWatch Acara baru.

Izin tambahan berikut diperlukan:

• iam— Memungkinkan kepala sekolah untuk membuat dan mencantumkan peran IAM dan kebijakan terlampirnya, dan mengizinkan Amazon ECS meneruskan peran tersebut ke layanan lain untuk mengambil peran tersebut.

catatan

Untuk memilih yang sudah adaecsEventsRole, Anda harus memiliki iam:GetRole dan iam:PassRole izin.

Kebijakan berikut berisi izin yang diperlukan, dan membatasi tindakan untuk ecsEventsRole peran.

{
  "Statement": [
      {
          "Effect": "Allow",
            "Action": [
              "iam:AttachRolePolicy",
              "iam:CreateRole",
              "iam:GetRole",
              "iam: PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/ecsEventsRole"
        }
    ]
}