Amazon Elastic Container Service 用の AWS マネージドポリシー - Amazon Elastic Container Service
AmazonECS_FullAccessAmazonEC2ContainerServiceforEC2RoleAmazonEC2ContainerServiceEventsRoleAmazonECSTaskExecutionRolePolicyAWSApplicationAutoscalingECSServicePolicyAWSCodeDeployRoleForECSAWSCodeDeployRoleForECSLimitedポリシーの更新

Amazon Elastic Container Service 用の AWS マネージドポリシー

ユーザー、グループ、ロールにアクセス許可を追加するには、自分でポリシーを作成するよりも、AWS 管理ポリシーを使用する方が簡単です。必要な権限のみをチームに付与する IAM カスタマー管理ポリシーの作成には、時間と専門知識が必要です。すぐに開始するには、AWS 管理ポリシーを使用できます。このポリシーは、一般的なユースケースをカバーし、AWS アカウントでご利用いただけます。AWS 管理ポリシーの詳細については、IAM ユーザーガイド の「AWS 管理ポリシー」を参照してください。

AWS サービスは、AWS 管理ポリシーを維持および更新します。AWS 管理ポリシーの権限を変更することはできません。サービスでは、新しい機能を利用できるようにするために、AWS 管理ポリシーに権限が追加されることがあります。このような更新が行われると、ポリシーがアタッチされているすべての ID (ユーザー、グループ、ロール) に影響が及びます。新しい機能が立ち上げられた場合や、新しいオペレーションが使用可能になった場合に、各サービスが AWS 管理ポリシーを更新する可能性が最も高くなります。サービスは AWS 管理ポリシーから権限を削除しないため、ポリシーの更新によって既存の権限が破棄されることはありません。

加えて AWS では、複数のサービスにまたがる職務機能のための管理ポリシーもサポートしています。例えば、ReadOnlyAccess AWS 管理ポリシーでは、すべての AWS のサービスおよびリソースへの読み取り専用アクセスを許可します。あるサービスで新しい機能を立ち上げる場合、AWS は、追加されたオペレーションとリソースに対し、読み取り専用のアクセス許可を設定します。職務機能ポリシーのリストと説明については、IAM ユーザーガイド の「 職務機能の AWS 管理ポリシー」を参照してください。

Amazon ECS および Amazon ECR では、AWS Identity and Access Management (IAM) ユーザー、Amazon EC2 インスタンス、および Amazon ECS タスクにアタッチして、リソースや API オペレーションで異なる制御レベルを使用できる複数のマネージドポリシーと信頼関係を提供しています。これらのポリシーを直接適用することも、独自のポリシーを作成する開始点として使用することもできます。Amazon ECR マネージドポリシーの詳細については、Amazon ECR managed policies を参照してください。

AmazonECS_FullAccess

IAM アイデンティティに AmazonECS_FullAccess ポリシーをアタッチできます。

このポリシーは、Amazon ECS リソースへの管理アクセスを許可し、Amazon ECS がすべての Amazon ECS 機能を使用するために統合されている AWS のサービスへのアクセス権を IAM アイデンティティ (ユーザー、グループ、ロールなど) に付与します。このポリシーを使用すると、AWS Management Console で使用可能なすべての Amazon ECS 機能にアクセスできます。

アクセス権限の詳細

この AmazonECS_FullAccess マネージド IAM ポリシーには以下の許可が含まれています。最小権限を付与するベストプラクティスに従って、AmazonECS_FullAccess マネージドポリシーを独自のカスタムポリシーを作成するためのテンプレートとして使用できます。これにより、特定の要件に基づいて、マネージドポリシーから許可を剥奪したり、マネージドポリシーに許可を追加したりできます。

  • ecs – プリンシパルがすべての Amazon ECS API に完全にアクセスすることを許可します。

  • application-autoscaling – プリンシパルが Application Auto Scaling リソースを作成、記述、および管理することを許可します。これは、Amazon ECS のサービスのサービス Auto Scaling を有効にするときに必要です。

  • appmesh – プリンシパルが App Mesh サービスメッシュと仮想ノードをリストし、App Mesh 仮想ノードを記述することを許可します。これは、Amazon ECS のサービスを App Mesh と統合するときに必要です。

  • autoscaling – プリンシパルが Amazon EC2 Auto Scaling リソースを作成、管理、および記述することを許可します。これは、クラスター Auto Scaling 機能を使用する場合において、Amazon EC2 Auto Scaling グループを管理するときに必要です。

  • cloudformation – プリンシパルが AWS CloudFormation スタックを作成および管理することを許可します。これは、AWS Management Console を使用して Amazon ECS クラスターを作成し、その後にそれらのクラスターを管理するときに必要です。

  • cloudwatch – プリンシパルが Amazon CloudWatch アラームを作成、管理、および記述することを許可します。

  • codedeploy – プリンシパルが、アプリケーションのデプロイを作成および管理し、設定、リビジョン、およびデプロイターゲットを表示することを許可します。

  • sns – プリンシパルが Amazon SNS トピックのリストを表示することを許可します。

  • lambda – プリンシパルが AWS Lambda 関数とそのバージョン固有の設定のリストを表示することを許可します。

  • ec2 – プリンシパルが Amazon EC2 インスタンスを実行し、ルート、ルートテーブル、インターネットゲートウェイ、起動グループ、セキュリティグループ、仮想プライベートクラウド、スポットフリート、およびサブネットを作成と管理することを許可します。

  • elasticloadbalancing – プリンシパルが Elastic Load Balancing ロードバランサーを作成、記述、および削除することを許可します。プリンシパルは、ロードバランサーのターゲットグループ、リスナー、およびリスナーのルールを完全に管理することもできます。

  • events – プリンシパルが Amazon EventBridge ルールとそのターゲットを作成、管理、および削除することを許可します。

  • iam – プリンシパルが IAM ロールとそのアタッチされたポリシーを一覧表示することを許可します。プリンシパルは、Amazon EC2 インスタンスで使用可能なインスタンスプロファイルを一覧表示することもできます。

  • logs – プリンシパルが Amazon CloudWatch Logs ロググループを作成および記述することを許可します。プリンシパルは、これらのロググループのログイベントを一覧表示することもできます。

  • route53 – プリンシパルが Amazon Route 53 ホストゾーンを作成、管理、および削除することを許可します。プリンシパルは、Amazon Route 53 ヘルスチェックの設定と情報を表示することもできます。ホストゾーンの詳細については、ホストゾーンの使用を参照してください。

  • servicediscovery – プリンシパルが AWS Cloud Map のサービスを作成、管理、および削除し、プライベート DNS 名前空間を作成することを許可します。

AmazonECS_FullAccess ポリシーの例を次に示します。 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DeleteScalingPolicy",
                "application-autoscaling:DeregisterScalableTarget",
                "application-autoscaling:DescribeScalableTargets",
                "application-autoscaling:DescribeScalingActivities",
                "application-autoscaling:DescribeScalingPolicies",
                "application-autoscaling:PutScalingPolicy",
                "application-autoscaling:RegisterScalableTarget",
                "appmesh:ListMeshes",
                "appmesh:ListVirtualNodes",
                "appmesh:DescribeVirtualNode",
                "autoscaling:UpdateAutoScalingGroup",
                "autoscaling:CreateAutoScalingGroup",
                "autoscaling:CreateLaunchConfiguration",
                "autoscaling:DeleteAutoScalingGroup",
                "autoscaling:DeleteLaunchConfiguration",
                "autoscaling:Describe*",
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack",
                "cloudwatch:DescribeAlarms",
                "cloudwatch:DeleteAlarms",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:PutMetricAlarm",
                "codedeploy:CreateApplication",
                "codedeploy:CreateDeployment",
                "codedeploy:CreateDeploymentGroup",
                "codedeploy:GetApplication",
                "codedeploy:GetDeployment",
                "codedeploy:GetDeploymentGroup",
                "codedeploy:ListApplications",
                "codedeploy:ListDeploymentGroups",
                "codedeploy:ListDeployments",
                "codedeploy:StopDeployment",
                "codedeploy:GetDeploymentTarget",
                "codedeploy:ListDeploymentTargets",
                "codedeploy:GetDeploymentConfig",
                "codedeploy:GetApplicationRevision",
                "codedeploy:RegisterApplicationRevision",
                "codedeploy:BatchGetApplicationRevisions",
                "codedeploy:BatchGetDeploymentGroups",
                "codedeploy:BatchGetDeployments",
                "codedeploy:BatchGetApplications",
                "codedeploy:ListApplicationRevisions",
                "codedeploy:ListDeploymentConfigs",
                "codedeploy:ContinueDeployment",
                "sns:ListTopics",
                "lambda:ListFunctions",
                "ec2:AssociateRouteTable",
                "ec2:AttachInternetGateway",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CancelSpotFleetRequests",
                "ec2:CreateInternetGateway",
                "ec2:CreateLaunchTemplate",
                "ec2:CreateRoute",
                "ec2:CreateRouteTable",
                "ec2:CreateSecurityGroup",
                "ec2:CreateSubnet",
                "ec2:CreateVpc",
                "ec2:DeleteLaunchTemplate",
                "ec2:DeleteSubnet",
                "ec2:DeleteVpc",
                "ec2:Describe*",
                "ec2:DetachInternetGateway",
                "ec2:DisassociateRouteTable",
                "ec2:ModifySubnetAttribute",
                "ec2:ModifyVpcAttribute",
                "ec2:RunInstances",
                "ec2:RequestSpotFleet",
                "elasticloadbalancing:CreateListener",
                "elasticloadbalancing:CreateLoadBalancer",
                "elasticloadbalancing:CreateRule",
                "elasticloadbalancing:CreateTargetGroup",
                "elasticloadbalancing:DeleteListener",
                "elasticloadbalancing:DeleteLoadBalancer",
                "elasticloadbalancing:DeleteRule",
                "elasticloadbalancing:DeleteTargetGroup",
                "elasticloadbalancing:DescribeListeners",
                "elasticloadbalancing:DescribeLoadBalancers",
                "elasticloadbalancing:DescribeRules",
                "elasticloadbalancing:DescribeTargetGroups",
                "ecs:*",
                "events:DescribeRule",
                "events:DeleteRule",
                "events:ListRuleNamesByTarget",
                "events:ListTargetsByRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets",
                "iam:ListAttachedRolePolicies",
                "iam:ListInstanceProfiles",
                "iam:ListRoles",
                "logs:CreateLogGroup",
                "logs:DescribeLogGroups",
                "logs:FilterLogEvents",
                "route53:GetHostedZone",
                "route53:ListHostedZonesByName",
                "route53:CreateHostedZone",
                "route53:DeleteHostedZone",
                "route53:GetHealthCheck",
                "servicediscovery:CreatePrivateDnsNamespace",
                "servicediscovery:CreateService",
                "servicediscovery:GetNamespace",
                "servicediscovery:GetOperation",
                "servicediscovery:GetService",
                "servicediscovery:ListNamespaces",
                "servicediscovery:ListServices",
                "servicediscovery:UpdateService",
                "servicediscovery:DeleteService"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParametersByPath",
                "ssm:GetParameters",
                "ssm:GetParameter"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/aws/service/ecs*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteInternetGateway",
                "ec2:DeleteRoute",
                "ec2:DeleteRouteTable",
                "ec2:DeleteSecurityGroup"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringLike": {
                    "ec2:ResourceTag/aws:cloudformation:stack-name": "EC2ContainerService-*"
                }
            }
        },
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "ecs-tasks.amazonaws.com"
                }
            }
        },
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::*:role/ecsInstanceRole*"
            ],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": [
                        "ec2.amazonaws.com",
                        "ec2.amazonaws.com.cn"
                    ]
                }
            }
        },
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::*:role/ecsAutoscaleRole*"
            ],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": [
                        "application-autoscaling.amazonaws.com",
                        "application-autoscaling.amazonaws.com.cn"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": [
                        "ecs.amazonaws.com",
                        "spot.amazonaws.com",
                        "spotfleet.amazonaws.com",
                        "ecs.application-autoscaling.amazonaws.com",
                        "autoscaling.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

AmazonEC2ContainerServiceforEC2Role

Amazon ECS は、Amazon ECS が Amazon EC2 インスタンスまたは外部インスタンスに対してユーザーに代わってアクションを実行することを許可するサービスロールにこのポリシーをアタッチします。

このポリシーは、Amazon ECS コンテナインスタンスがユーザーに代わって AWS を呼び出すことを許可する管理許可を付与します。詳細については、Amazon ECS コンテナインスタンスの IAM ロール を参照してください。

考慮事項

AmazonEC2ContainerServiceforEC2Role マネージド IAM ポリシーを使用する場合は、次の推奨事項と考慮事項を検討する必要があります。

  • 最小権限の付与に関する標準的なセキュリティアドバイスに従って、特定のニーズに合わせて AmazonEC2ContainerServiceforEC2Role マネージドポリシーを変更できます。マネージドポリシーで付与された許可のいずれかがユースケースで不要な場合は、カスタムポリシーを作成し、必要な許可のみを追加します。例えば、スポットインスタンス ドレーニングのために UpdateContainerInstancesState アクセス許可が提供されます。その許可がユースケースに必要でない場合は、カスタムポリシーを使用して除外します。詳細については、アクセス権限の詳細 を参照してください。

  • コンテナインスタンスで実行しているコンテナは、インスタンスのメタデータを通じてコンテナインスタンスのロールに提供されているすべての権限にアクセスできます。コンテナインスタンスのロールの許可は、マネージド AmazonEC2ContainerServiceforEC2Role ポリシーで提供される許可の最小リストに制限することをお勧めします。タスクのコンテナでリストされていない追加の許可が必要な場合は、独自の IAM ロールを使用してタスクを提供することをお勧めします。詳細については、「タスク用の IAM ロール」を参照してください。

    docker0 ブリッジ上のコンテナが、コンテナインスタンスロールについて指定された許可にアクセスできないようにすることができます。コンテナインスタンスで次の iptables コマンドを実行して、タスク用の IAM ロール によって提供される許可を付与しつつ、これを実行できます。コンテナは、このルールが有効なインスタンスメタデータをクエリできません。このコマンドはデフォルトの Docker のブリッジ設定を前提としており、host ネットワークモードを使用するコンテナで動作しません。詳細については、「ネットワークモード」を参照してください。 

    sudo yum install -y iptables-services; sudo iptables --insert FORWARD 1 --in-interface docker+ --destination 169.254.169.254/32 --jump DROP

    再起動後も有効にするには、コンテナインスタンスでこの iptables ルールを保存する必要があります。Amazon ECS-optimized AMI では以下のコマンドを使用します。他のオペレーティングシステムについては、その OS のドキュメントを参照してください。

    • Amazon ECS-optimized Amazon Linux 2 AMI の場合:

      sudo iptables-save | sudo tee /etc/sysconfig/iptables && sudo systemctl enable --now iptables

    • Amazon ECS-optimized Amazon Linux AMI の場合:

      sudo service iptables save

アクセス権限の詳細

この AmazonEC2ContainerServiceforEC2Role 管理 IAM ポリシーには以下のアクセス許可が含まれています。最小限の特権を付与するという標準的なセキュリティアドバイスに従って、AmazonEC2ContainerServiceforEC2Role 管理ポリシーをガイドとして使用できます。マネージドポリシーで付与された許可のいずれかがユースケースで不要な場合は、カスタムポリシーを作成し、必要な許可のみを追加します。

  • ec2:DescribeTags – プリンシパルが Amazon EC2 インスタンスに関連付けられたタグを記述することを許可します。このアクセス許可は、リソースタグ伝達をサポートするために、Amazon ECS コンテナエージェントによって使用されます。詳細については、リソースのタグ付け を参照してください。

  • ecs:CreateCluster – プリンシパルが Amazon ECS クラスターを作成することを許可します。このアクセス許可は、default クラスターが存在しない場合に、これを作成するために Amazon ECS コンテナエージェントによって使用されます。

  • ecs:DeregisterContainerInstance – プリンシパルがクラスターから Amazon ECS コンテナインスタンスを登録解除することを許可します。Amazon ECS コンテナエージェントはこの API を呼び出しませんが、このアクセス許可は確実に下位互換性があるようにするために残ります。

  • ecs:DiscoverPollEndpoint – このアクションは、Amazon ECS コンテナエージェントが更新のポーリングに使用するエンドポイントを返します。

  • ecs:Poll – Amazon ECS コンテナエージェントが Amazon ECS コントロールプレーンと通信して、タスクの状態の変更をレポートすることを許可します。

  • ecs:RegisterContainerInstance – プリンシパルがコンテナインスタンスをクラスターに登録することを許可します。このアクセス許可は、Amazon EC2 インスタンスをクラスターに登録したり、リソースタグ伝達をサポートしたりするために、Amazon ECS コンテナエージェントによって使用されます。

  • ecs:StartTelemetrySession – Amazon ECS コンテナエージェントが Amazon ECS コントロールプレーンと通信して、各コンテナとタスクの正常性に関する情報とメトリクスをレポートすることを許可します。

  • ecs:UpdateContainerInstancesState – プリンシパルが Amazon ECS コンテナインスタンスのステータスを変更することを許可します。このアクセス許可は、Amazon ECS コンテナエージェントによって スポットインスタンス ドレーニングのために使用されます。詳細については、スポットインスタンス のドレイン を参照してください。

  • ecs:Submit* – これには、SubmitAttachmentStateChanges、SubmitContainerStateChange、および SubmitTaskStateChange API アクションが含まれます。Amazon ECS コンテナエージェントは、各リソースの状態変更を Amazon ECS コントロールプレーンに報告するために使用します。SubmitContainerStateChange アクセス許可は、Amazon ECS コンテナエージェントによって使用されなくなりますが、確実に下位互換性があるようにするために残ります。

  • ecr:GetAuthorizationToken – プリンシパルが認証トークンを取得することを許可します。認証トークンは IAM 認証情報を表し、IAM プリンシパルによってアクセスされる Amazon ECR レジストリへのアクセスに使用できます。受信した認証トークンは 12 時間有効です。

  • ecr:BatchCheckLayerAvailability – コンテナイメージが Amazon ECR プライベートリポジトリにプッシュされると、各イメージレイヤーがチェックされ、既にプッシュされているかどうかが確認されます。プッシュされている場合、イメージレイヤーはスキップされます。

  • ecr:GetDownloadUrlForLayer – コンテナイメージが Amazon ECR プライベートリポジトリからプルされると、この API は、まだキャッシュされていないイメージレイヤーごとに 1 回呼び出されます。

  • ecr:BatchGetImage – コンテナイメージが Amazon ECR プライベートリポジトリからプルされると、この API は 1 回呼び出されてイメージマニフェストを取得します。

  • logs:CreateLogStream – プリンシパルが、指定されたロググループの CloudWatch Logs ログストリームを作成することを許可します。

  • logs:PutLogEvents – プリンシパルが、指定されたログストリームにログイベントのバッチをアップロードすることを許可します。

AmazonEC2ContainerServiceforEC2Role ポリシーの例を次に示します。 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeTags",
                "ecs:CreateCluster",
                "ecs:DeregisterContainerInstance",
                "ecs:DiscoverPollEndpoint",
                "ecs:Poll",
                "ecs:RegisterContainerInstance",
                "ecs:StartTelemetrySession",
                "ecs:UpdateContainerInstancesState",
                "ecs:Submit*",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        }
    ]
}

AmazonEC2ContainerServiceEventsRole

このポリシーは、Amazon EventBridge (以前は CloudWatch Events) がユーザーに代わってタスクを実行することを許可する許可を付与します。このポリシーは、スケジュールされたタスクの作成時に指定した IAM ロールにアタッチできます。詳細については、Amazon ECS CloudWatch Events IAM ロール を参照してください。

アクセス権限の詳細

このポリシーには以下のアクセス許可が含まれています。

  • ecs – サービス内のプリンシパルが Amazon ECS RunTask API を呼び出すことを許可します。

  • iam – 任意の IAM サービスロールを任意の Amazon ECS タスクに渡すことを許可します。

AmazonEC2ContainerServiceEventsRole ポリシーの例を次に示します。 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "ecs-tasks.amazonaws.com"
                }
            }
        }
    ]
}

AmazonECSTaskExecutionRolePolicy

AmazonECSTaskExecutionRolePolicy マネージド IAM ポリシーは、ユーザーに代わって AWS API コールを行うために Amazon ECS コンテナエージェントと AWS Fargate コンテナエージェントが必要とする許可を付与します。このポリシーは、タスク実行 IAM ロールに追加できます。詳細については、Amazon ECS タスク実行 IAM ロール を参照してください。

アクセス権限の詳細

この AmazonECSTaskExecutionRolePolicy 管理 IAM ポリシーには以下のアクセス許可が含まれています。最小限の特権を付与するという標準的なセキュリティアドバイスに従って、AmazonECSTaskExecutionRolePolicy 管理ポリシーをガイドとして使用できます。マネージドポリシーで付与された許可のいずれかがユースケースで不要な場合は、カスタムポリシーを作成し、必要な許可のみを追加します。

  • ecr:GetAuthorizationToken – プリンシパルが認証トークンを取得することを許可します。認証トークンは IAM 認証情報を表し、IAM プリンシパルによってアクセスされる Amazon ECR レジストリへのアクセスに使用できます。受信した認証トークンは 12 時間有効です。

  • ecr:BatchCheckLayerAvailability – コンテナイメージが Amazon ECR プライベートリポジトリにプッシュされると、各イメージレイヤーがチェックされ、既にプッシュされているかどうかが確認されます。プッシュされている場合、イメージレイヤーはスキップされます。

  • ecr:GetDownloadUrlForLayer – コンテナイメージが Amazon ECR プライベートリポジトリからプルされると、この API は、まだキャッシュされていないイメージレイヤーごとに 1 回呼び出されます。

  • ecr:BatchGetImage – コンテナイメージが Amazon ECR プライベートリポジトリからプルされると、この API は 1 回呼び出されてイメージマニフェストを取得します。

  • logs:CreateLogStream – プリンシパルが、指定されたロググループの CloudWatch Logs ログストリームを作成することを許可します。

  • logs:PutLogEvents – プリンシパルが、指定されたログストリームにログイベントのバッチをアップロードすることを許可します。

AmazonECSTaskExecutionRolePolicy ポリシーの例を次に示します。 

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "*"
    }
  ]
}

AWSApplicationAutoscalingECSServicePolicy

IAM エンティティに AWSApplicationAutoscalingECSServicePolicy をアタッチすることはできません。このポリシーは、ユーザーに代わって Application Auto Scaling がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、Service-linked roles for Application Auto Scaling を参照してください。

AWSCodeDeployRoleForECS

IAM エンティティに AWSCodeDeployRoleForECS をアタッチすることはできません。このポリシーは、ユーザーに代わって CodeDeploy がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、AWS CodeDeploy User Guide の Create a service role for CodeDeploy を参照してください。

AWSCodeDeployRoleForECSLimited

IAM エンティティに AWSCodeDeployRoleForECSLimited をアタッチすることはできません。このポリシーは、ユーザーに代わって CodeDeploy がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、AWS CodeDeploy User Guide の Create a service role for CodeDeploy を参照してください。

Amazon ECS による AWS 管理ポリシーの更新

Amazon ECS の AWS マネージドポリシーの更新に関する詳細を、このサービスがこれらの変更の追跡を開始した以降の分について表示します。このページの変更に関する自動通知を入手するには、Amazon ECS ドキュメントの履歴ページから、RSS フィードにサブスクライブしてください。

変更 説明 日付

Amazon ECS が変更の追跡を開始しました

Amazon ECS が AWS マネージドポリシーの変更の追跡を開始しました。

 2021 年 6 月 8 日