Amazon ECS の IAM ポリシー/AWS Fargate

以下のサンプルテンプレートは、ステートマシン定義内のリソースに基づいて IAM AWS Step Functions ポリシーを生成する方法を示しています。詳細については、統合サービスの IAM ポリシーおよびサービス統合パターンを参照してください。

TaskId の値は、タスクが送信されるまで不明なため、Step Functions は、権限の高い "Resource": "*" ポリシーを作成します。

注記

"*" IAM ポリシーにもかかわらず、Step Functions によってスタートした Amazon Elastic Container Service (Amazon ECS) タスクを停止できるだけです。

Run a Job (.sync)

静的リソース

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask"
            ],
            "Resource": [
                "arn:aws:ecs:[[region]]:
[[accountId]]:task-definition/[[taskDefinition]]"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:StopTask",
                "ecs:DescribeTasks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "events:PutTargets",
                "events:PutRule",
                "events:DescribeRule"
            ],
            "Resource": [
               "arn:aws:events:[[region]]:
[[accountId]]:rule/StepFunctionsGetEventsForECSTaskRule"
            ]
        }
    ]
}

        

動的リソース

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask",
                "ecs:StopTask",
                "ecs:DescribeTasks"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "events:PutTargets",
                "events:PutRule",
                "events:DescribeRule"
            ],
            "Resource": [
               "arn:aws:events:[[region]]:
[[accountId]]:rule/StepFunctionsGetEventsForECSTaskRule"
            ]
        }
    ]
}

Request Response and Callback (.waitForTaskToken)

静的リソース

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask"
            ],
            "Resource": [
                "arn:aws:ecs:[[region]]:
[[accountId]]:task-definition/[[taskDefinition]]"
            ]
        }
    ]
}
        

動的リソース

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask"
            ],
            "Resource": "*"
        }
    ]
}

スケジュールされた Amazon ECS タスクでタスク実行ロール、タスクロール、またはタスクロールオーバーライドの使用が必要な場合は、各タスク実行ロール、タスクロール、iam:PassRoleまたはタスクロールオーバーライドのアクセス権限を、呼び出し元エンティティ (この場合は Step Functions) の CloudWatch Events IAM ロールに追加する必要があります。