Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
IAMPeran contoh ECS wadah Amazon
Instans ECS penampung Amazon, termasuk Amazon EC2 dan instans eksternal, menjalankan agen ECS penampung Amazon dan memerlukan IAM peran agar layanan mengetahui bahwa agen tersebut milik Anda. Sebelum meluncurkan instance kontainer dan mendaftarkannya ke klaster, Anda harus membuat IAM peran untuk digunakan instance container Anda. Peran dibuat di akun yang Anda gunakan untuk masuk ke konsol atau menjalankan AWS CLI perintah.
penting
Jika Anda mendaftarkan instance eksternal ke klaster, IAM peran yang Anda gunakan juga memerlukan izin Systems Manager. Untuk informasi selengkapnya, lihat IAMPeran Amazon ECS Anywhere.
Amazon ECS menyediakan IAM kebijakan AmazonEC2ContainerServiceforEC2Role
terkelola yang berisi izin yang diperlukan untuk menggunakan set ECS fitur Amazon lengkap. Kebijakan terkelola ini dapat dilampirkan ke IAM peran dan dikaitkan dengan instance container Anda. Atau, Anda dapat menggunakan kebijakan terkelola sebagai panduan saat membuat kebijakan kustom untuk digunakan. Peran instance container memberikan izin yang diperlukan untuk memanggil AWS APIs agen ECS penampung Amazon dan daemon Docker atas nama Anda. Untuk informasi selengkapnya tentang kebijakan terkelola, lihat Amazon EC2ContainerServiceforEC2Role.
Amazon ECS mendukung peluncuran instans kontainer dengan peningkatan ENI kepadatan menggunakan jenis EC2 instans Amazon yang didukung. Saat Anda menggunakan fitur ini, kami sarankan Anda membuat 2 peran instance container. Aktifkan pengaturan awsvpcTrunking
akun untuk satu peran dan gunakan peran itu untuk tugas yang memerlukan ENI trunking. Untuk informasi tentang pengaturan awsvpcTrunking
akun, lihatAkses ECS fitur Amazon dengan pengaturan akun.
Buat peran instance kontainer
penting
Jika Anda mendaftarkan instans eksternal untuk klaster Anda, lihat IAMPeran Amazon ECS Anywhere.
Anda dapat membuat peran secara manual dan melampirkan IAM kebijakan terkelola untuk instance container agar Amazon ECS dapat menambahkan izin untuk fitur dan penyempurnaan future saat diperkenalkan. Gunakan prosedur berikut untuk melampirkan IAM kebijakan terkelola jika diperlukan.
Setelah Anda membuat peran, tambahkan izin tambahan ke peran untuk fitur berikut.
Fitur |
Izin tambahan |
---|---|
Amazon ECR memiliki gambar kontainer |
|
Minta CloudWatch Log memantau instance kontainer | |
Host file konfigurasi dalam bucket Amazon S3 |
ECRIzin Amazon
Peran instans ECS penampung Amazon yang Anda gunakan dengan instance container harus memiliki izin IAM kebijakan berikut untuk Amazon. ECR
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ecr:BatchCheckLayerAvailability", "ecr:BatchGetImage", "ecr:GetDownloadUrlForLayer", "ecr:GetAuthorizationToken" ], "Resource": "*" } ] }
Jika Anda menggunakan kebijakan terkelola AmazonEC2ContainerServiceforEC2Role
untuk instans kontainer Anda, maka peran anda memiliki izin yang tepat. Untuk memeriksa apakah peran Anda mendukung AmazonECR, lihat Peran Instans IAM Amazon ECS Container di Panduan Pengembang Layanan Kontainer Elastis Amazon.
Akses hanya-baca Amazon S3
Menyimpan informasi konfigurasi dalam bucket pribadi di Amazon S3 dan memberikan akses hanya-baca ke IAM peran instance container Anda adalah cara yang aman dan nyaman untuk mengizinkan konfigurasi instance container pada waktu peluncuran. Anda dapat menyimpan salinan ecs.config
file Anda dalam bucket pribadi, menggunakan data EC2 pengguna Amazon untuk menginstal AWS CLI dan kemudian menyalin informasi konfigurasi Anda ke /etc/ecs/ecs.config
saat instance diluncurkan.
Untuk informasi selengkapnya tentang membuat ecs.config
file, menyimpannya di Amazon S3, dan meluncurkan instance dengan konfigurasi ini, lihat. Menyimpan konfigurasi instans ECS penampung Amazon di Amazon S3
Anda dapat menggunakan AWS CLI perintah berikut untuk mengizinkan akses hanya-baca Amazon S3 untuk peran instance container Anda. Ganti ecsInstanceRole
dengan nama peran yang Anda buat.
aws iam attach-role-policy \ --role-name
ecsInstanceRole
\ --policy-arn arn:aws::iam::aws:policy/AmazonS3ReadOnlyAccess
Anda juga dapat menggunakan IAM konsol untuk menambahkan Amazon S3 read-only access (AmazonS3ReadOnlyAccess
) ke peran Anda. Untuk informasi selengkapnya, lihat Memodifikasi kebijakan izin peran (konsol) di AWS Identity and Access Management Panduan Pengguna.
Memantau izin instance kontainer
Sebelum instance kontainer Anda dapat mengirim data CloudWatch log ke Log, Anda harus membuat IAM kebijakan untuk mengizinkan instance container Anda menggunakan CloudWatch LogAPIs, dan kemudian Anda harus melampirkan kebijakan tersebut. ecsInstanceRole