AWS Amazon Elastic 컨테이너 서비스에 대한 관리형 정책 - Amazon Elastic Container Service
아마존 ECS_ FullAccessAmazonECS InfrastructureRolePolicyForVolumes아마존 EC2 EC2 역할 ContainerServiceforAmazonEC2 ContainerServiceEventsRoleAmazonECS TaskExecutionRolePolicyAmazonECS ServiceRolePolicyAmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurityAWSApplicationAutoscalingECSServicePolicyAWSCodeDeployRoleForECSAWSCodeDeployRoleForECSLimited정책 업데이트

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS Amazon Elastic 컨테이너 서비스에 대한 관리형 정책

사용자, 그룹 및 역할에 권한을 추가하려면 정책을 직접 작성하는 것보다 AWS 관리형 정책을 사용하는 것이 더 쉽습니다. 팀에 필요한 권한만 제공하는 IAM 고객 관리형 정책을 생성하기 위해서는 시간과 전문 지식이 필요합니다. 빠르게 시작하려면 AWS 관리형 정책을 사용할 수 있습니다. 이러한 정책은 일반적인 사용 사례를 다루며 AWS 계정에서 사용할 수 있습니다. AWS 관리형 정책에 대한 자세한 내용은 IAM 사용 설명서의AWS 관리형 정책을 참조하십시오.

AWS 서비스는 AWS 관리형 정책을 유지 관리하고 업데이트합니다. AWS 관리형 정책에서는 권한을 변경할 수 없습니다. 서비스가 새 기능을 지원하기 위해 AWS 관리형 정책에 권한을 추가하는 경우가 있습니다. 이 타입의 업데이트는 정책이 연결된 모든 보안 인증(사용자, 그룹 및 역할)에 적용됩니다. 서비스는 새 기능이 출시되거나 새 작업을 사용할 수 있게 되면 AWS 관리형 정책을 업데이트할 가능성이 높습니다. 서비스는 AWS 관리형 정책에서 권한을 제거하지 않으므로 정책 업데이트로 인해 기존 권한이 손상되지 않습니다.

또한 여러 서비스에 걸친 작업 기능에 대한 관리형 정책을 AWS 지원합니다. 예를 들어 ReadOnlyAccess AWS 관리형 정책은 모든 AWS 서비스와 리소스에 대한 읽기 전용 액세스를 제공합니다. 서비스가 새 기능을 시작하면 새 작업 및 리소스에 대한 읽기 전용 권한이 AWS 추가됩니다. 직무 정책의 목록과 설명은 IAM 사용 설명서의 직무에 관한AWS 관리형 정책을 참조하세요.

Amazon ECS와 Amazon ECR은 사용자, 그룹, 역할, Amazon EC2 인스턴스, Amazon ECS 작업에 연결하여 리소스 및 API 작업을 다양한 수준으로 제어할 수 있는 여러 개의 관리형 정책과 신뢰 관계를 제공합니다. 이러한 정책은 직접 적용할 수도 있고, 사용자 고유의 정책을 생성하기 위한 시작 지점으로 정책을 사용할 수도 있습니다. Amazon ECR 관리형 정책에 대한 자세한 정보는 Amazon ECR 관리형 정책을 참조하세요.

AmazonECS_ FullAccess

AmazonECS_FullAccess 정책을 IAM 보안 인증에 연결할 수 있습니다.

이 정책은 Amazon ECS 리소스에 대한 관리 액세스 권한을 부여하고 모든 Amazon ECS 기능을 사용하기 위해 Amazon ECS가 통합된 AWS 서비스에 대한 IAM ID (예: 사용자, 그룹 또는 역할) 에 대한 액세스 권한을 부여합니다. 이 정책을 사용하면 AWS Management Console에서 사용할 수 있는 모든 Amazon ECS 기능에 액세스할 수 있습니다.

권한 세부 정보

AmazonECS_FullAccess 관리형 IAM 정책에 다음 권한이 포함되어야 합니다. 최소 권한을 부여하는 모범 사례를 따르면, AmazonECS_FullAccess 관리형 정책을 사용자 고유의 사용자 지정 정책을 생성하기 위한 템플릿으로 사용할 수 있습니다. 이렇게 하면 특정 요구 사항에 따라 관리형 정책에서 권한을 제거하거나 추가할 수 있습니다.

  • ecs— 보안 주체가 모든 Amazon ECS API 작업에 완전히 액세스할 수 있습니다.

  • application-autoscaling – 보안 주체가 Application Auto Scaling 리소스를 생성, 설명 및 관리할 수 있습니다. 이는 Amazon ECS 서비스에 대해 서비스 Auto Scaling을 활성화할 때 필요합니다.

  • appmesh - 보안 주체가 App Mesh 서비스 메시 및 가상 노드를 나열하고 App Mesh 가상 노드를 설명할 수 있습니다. 이는 Amazon ECS 서비스를 App Mesh와 통합할 때 필요합니다.

  • autoscaling – 보안 주체가 Amazon EC2 Auto Scaling 리소스를 생성, 관리 및 설명할 수 있습니다. 이는 클러스터 자동 조정 기능을 사용할 때 Amazon EC2 Auto Scaling 그룹을 관리할 때 필요합니다.

  • cloudformation— 주도자가 스택을 생성하고 관리할 수 있습니다. AWS CloudFormation 이는 AWS Management Console 및 이러한 클러스터의 후속 관리 태스크를 사용하여 Amazon ECS 클러스터를 생성할 때 필요합니다.

  • cloudwatch— 보안 주체가 Amazon CloudWatch 경보를 생성, 관리 및 설명할 수 있습니다.

  • codedeploy— 보안 주체가 애플리케이션 배포를 생성 및 관리하고 구성, 수정 및 배포 대상을 볼 수 있습니다.

  • sns – 보안 주체가 Amazon SNS 주제 목록을 볼 수 있습니다.

  • lambda – 보안 주체가 AWS Lambda 함수와 해당 버전별 구성을 볼 수 있습니다.

  • ec2— 보안 주체가 Amazon EC2 인스턴스를 실행하고 경로, 라우팅 테이블, 인터넷 게이트웨이, 시작 그룹, 보안 그룹, 가상 사설 클라우드, 스팟 플릿 및 서브넷을 생성 및 관리할 수 있습니다.

  • elasticloadbalancing – 보안 주체가 Elastic Load Balancing 로드 밸런서를 생성, 설명 및 삭제할 수 있습니다. 보안 주체는 새로 생성된 대상 그룹, 리스너 및 로드 밸런서에 대한 리스너 규칙에 태그를 추가할 수도 있습니다.

  • events— 보안 주체가 Amazon EventBridge 규칙 및 해당 대상을 생성, 관리 및 삭제할 수 있습니다.

  • iam – 보안 주체가 IAM 역할 및 연결된 정책을 나열할 수 있습니다. 또한 보안 주체는 Amazon EC2 인스턴스에서 사용 가능한 인스턴스 프로파일을 나열할 수 있습니다.

  • logs— 주도자가 Amazon CloudWatch Logs 로그 그룹을 생성하고 설명할 수 있습니다. 또한 보안 주체는 해당 로그 그룹에 대해 로그 이벤트를 나열할 수 있습니다.

  • route53 – 보안 주체가 Amazon Route 53 호스팅 영역을 생성, 관리 및 삭제할 수 있습니다. 또한 보안 주체는 Amazon Route 53 상태 확인 구성 및 정보를 확인할 수 있습니다. 자세한 정보는 호스팅 영역 태스크를 참조하세요.

  • servicediscovery— 보안 주체가 AWS Cloud Map 서비스를 생성, 관리, 삭제하고 프라이빗 DNS 네임스페이스를 생성할 수 있습니다.

다음은 예제 AmazonECS_FullAccess 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "application-autoscaling:DeleteScalingPolicy",
                "application-autoscaling:DeregisterScalableTarget",
                "application-autoscaling:DescribeScalableTargets",
                "application-autoscaling:DescribeScalingActivities",
                "application-autoscaling:DescribeScalingPolicies",
                "application-autoscaling:PutScalingPolicy",
                "application-autoscaling:RegisterScalableTarget",
                "appmesh:DescribeVirtualGateway",
                "appmesh:DescribeVirtualNode",
                "appmesh:ListMeshes",
                "appmesh:ListVirtualGateways",
                "appmesh:ListVirtualNodes",
                "autoscaling:CreateAutoScalingGroup",
                "autoscaling:CreateLaunchConfiguration",
                "autoscaling:DeleteAutoScalingGroup",
                "autoscaling:DeleteLaunchConfiguration",
                "autoscaling:Describe*",
                "autoscaling:UpdateAutoScalingGroup",
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStack*",
                "cloudformation:UpdateStack",
                "cloudwatch:DeleteAlarms",
                "cloudwatch:DescribeAlarms",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:PutMetricAlarm",
                "codedeploy:BatchGetApplicationRevisions",
                "codedeploy:BatchGetApplications",
                "codedeploy:BatchGetDeploymentGroups",
                "codedeploy:BatchGetDeployments",
                "codedeploy:ContinueDeployment",
                "codedeploy:CreateApplication",
                "codedeploy:CreateDeployment",
                "codedeploy:CreateDeploymentGroup",
                "codedeploy:GetApplication",
                "codedeploy:GetApplicationRevision",
                "codedeploy:GetDeployment",
                "codedeploy:GetDeploymentConfig",
                "codedeploy:GetDeploymentGroup",
                "codedeploy:GetDeploymentTarget",
                "codedeploy:ListApplicationRevisions",
                "codedeploy:ListApplications",
                "codedeploy:ListDeploymentConfigs",
                "codedeploy:ListDeploymentGroups",
                "codedeploy:ListDeployments",
                "codedeploy:ListDeploymentTargets",
                "codedeploy:RegisterApplicationRevision",
                "codedeploy:StopDeployment",
                "ec2:AssociateRouteTable",
                "ec2:AttachInternetGateway",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CancelSpotFleetRequests",
                "ec2:CreateInternetGateway",
                "ec2:CreateLaunchTemplate",
                "ec2:CreateRoute",
                "ec2:CreateRouteTable",
                "ec2:CreateSecurityGroup",
                "ec2:CreateSubnet",
                "ec2:CreateVpc",
                "ec2:DeleteLaunchTemplate",
                "ec2:DeleteSubnet",
                "ec2:DeleteVpc",
                "ec2:Describe*",
                "ec2:DetachInternetGateway",
                "ec2:DisassociateRouteTable",
                "ec2:ModifySubnetAttribute",
                "ec2:ModifyVpcAttribute",
                "ec2:RequestSpotFleet",
                "ec2:RunInstances",
                "ecs:*",
                "elasticfilesystem:DescribeAccessPoints",
                "elasticfilesystem:DescribeFileSystems",
                "elasticloadbalancing:CreateListener",
                "elasticloadbalancing:CreateLoadBalancer",
                "elasticloadbalancing:CreateRule",
                "elasticloadbalancing:CreateTargetGroup",
                "elasticloadbalancing:DeleteListener",
                "elasticloadbalancing:DeleteLoadBalancer",
                "elasticloadbalancing:DeleteRule",
                "elasticloadbalancing:DeleteTargetGroup",
                "elasticloadbalancing:DescribeListeners",
                "elasticloadbalancing:DescribeLoadBalancers",
                "elasticloadbalancing:DescribeRules",
                "elasticloadbalancing:DescribeTargetGroups",
                "events:DeleteRule",
                "events:DescribeRule",
                "events:ListRuleNamesByTarget",
                "events:ListTargetsByRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets",
                "fsx:DescribeFileSystems",
                "iam:ListAttachedRolePolicies",
                "iam:ListInstanceProfiles",
                "iam:ListRoles",
                "lambda:ListFunctions",
                "logs:CreateLogGroup",
                "logs:DescribeLogGroups",
                "logs:FilterLogEvents",
                "route53:CreateHostedZone",
                "route53:DeleteHostedZone",
                "route53:GetHealthCheck",
                "route53:GetHostedZone",
                "route53:ListHostedZonesByName",
                "servicediscovery:CreatePrivateDnsNamespace",
                "servicediscovery:CreateService",
                "servicediscovery:DeleteService",
                "servicediscovery:GetNamespace",
                "servicediscovery:GetOperation",
                "servicediscovery:GetService",
                "servicediscovery:ListNamespaces",
                "servicediscovery:ListServices",
                "servicediscovery:UpdateService",
                "sns:ListTopics"
            ],
            "Resource": ["*"]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "ssm:GetParameters",
                "ssm:GetParametersByPath"
            ],
            "Resource": "arn:aws:ssm:*:*:parameter/aws/service/ecs*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteInternetGateway",
                "ec2:DeleteRoute",
                "ec2:DeleteRouteTable",
                "ec2:DeleteSecurityGroup"
            ],
            "Resource": ["*"],
            "Condition": {
                "StringLike": {"ec2:ResourceTag/aws:cloudformation:stack-name": "EC2ContainerService-*"}
            }
        },
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": ["*"],
            "Condition": {
                "StringLike": {"iam:PassedToService": "ecs-tasks.amazonaws.com"}
            }
        },
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": ["arn:aws:iam::*:role/ecsInstanceRole*"],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": [
                        "ec2.amazonaws.com",
                        "ec2.amazonaws.com.cn"
                    ]
                }
            }
        },
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": ["arn:aws:iam::*:role/ecsAutoscaleRole*"],
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": [
                        "application-autoscaling.amazonaws.com",
                        "application-autoscaling.amazonaws.com.cn"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": [
                        "autoscaling.amazonaws.com",
                        "ecs.amazonaws.com",
                        "ecs.application-autoscaling.amazonaws.com",
                        "spot.amazonaws.com",
                        "spotfleet.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": ["elasticloadbalancing:AddTags"],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "elasticloadbalancing:CreateAction": [
                        "CreateTargetGroup",
                        "CreateRule",
                        "CreateListener",
                        "CreateLoadBalancer"
                    ]
                }
            }
        }
    ]
}

AmazonECS InfrastructureRolePolicyForVolumes

AmazonECSInfrastructureRolePolicyForVolumes관리형 IAM 정책은 Amazon ECS가 사용자를 대신하여 AWS API를 호출하는 데 필요한 권한을 부여합니다. Amazon ECS 작업 및 서비스를 시작할 때 볼륨 구성과 함께 제공하는 IAM 역할에 이 정책을 연결할 수 있습니다. 이 역할을 통해 Amazon ECS는 작업에 연결된 볼륨을 관리할 수 있습니다. 자세한 내용은 Amazon ECS 인프라 IAM 역할을 참조하십시오.

권한 세부 정보

AmazonECSInfrastructureRolePolicyForVolumes 관리형 IAM 정책에 다음 권한이 포함되어야 합니다. 최소 권한 부여라는 표준 보안 권고에 따라 AmazonECSInfrastructureRolePolicyForVolumes 관리형 정책을 템플릿으로 사용하여 필요한 권한만 포함된 사용자 지정 정책을 생성할 수 있습니다.

  • ec2:CreateVolume— 및 태그가 지정된 경우에만 보안 주체가 Amazon EBS 볼륨을 생성할 수 있도록 허용합니다. AmazonECSCreated AmazonECSManaged Amazon ECS 작업에 연결된 Amazon EBS 볼륨을 생성하고 이 정책에 따라 Amazon ECS에 제공되는 권한을 최소화하려면 이 권한이 필요합니다.

  • ec2:CreateTags— 보안 주체가 Amazon EBS 볼륨의 ec2:CreateVolume 일부로 태그를 추가할 수 있습니다. Amazon ECS가 사용자 대신 생성한 Amazon EBS 볼륨에 고객 지정 태그를 추가하려면 이 권한이 필요합니다.

  • ec2:AttachVolume— 보안 주체가 Amazon EBS 볼륨을 Amazon EC2 인스턴스에 연결할 수 있습니다. Amazon ECS가 Amazon EBS 볼륨을 관련 Amazon ECS 작업을 호스팅하는 Amazon EC2 인스턴스에 연결하려면 이 권한이 필요합니다.

  • ec2:DescribeVolume— 보안 주체가 Amazon EBS 볼륨에 대한 정보를 검색할 수 있습니다. Amazon EBS 볼륨의 수명 주기를 관리하려면 이 권한이 필요합니다.

  • ec2:DescribeAvailabilityZones— 주체가 사용자 계정의 가용 영역에 대한 정보를 검색할 수 있도록 허용합니다. 이는 EBS 볼륨의 라이프사이클을 관리하는 데 필요합니다.

  • ec2:DetachVolume— 보안 주체가 Amazon EC2 인스턴스에서 Amazon EBS 볼륨을 분리할 수 있습니다. 작업이 종료될 때 Amazon ECS가 관련 Amazon ECS 작업을 호스팅하는 Amazon EC2 인스턴스에서 Amazon EBS 볼륨을 분리하려면 이 권한이 필요합니다.

  • ec2:DeleteVolume— 보안 주체가 Amazon EBS 볼륨을 삭제할 수 있도록 허용합니다. Amazon ECS가 Amazon ECS 작업에서 더 이상 사용하지 않는 Amazon EBS 볼륨을 삭제하려면 이 권한이 필요합니다.

  • ec2:DeleteTags— 보안 주체가 Amazon EBS 볼륨에서 AmazonECSManaged 태그를 삭제할 수 있습니다. Amazon ECS가 Amazon ECS 워크로드와 더 이상 연결되지 않은 Amazon EBS 볼륨에 대한 액세스를 제거하려면 이 권한이 필요합니다. 이는 작업 종료 후 Amazon EBS 볼륨이 삭제되지 않는 경우에만 적용됩니다.

다음은 예제 AmazonECSInfrastructureRolePolicyForVolumes 정책입니다.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "CreateEBSManagedVolume",
			"Effect": "Allow",
			"Action": "ec2:CreateVolume",
			"Resource": "arn:aws:ec2:*:*:volume/*",
			"Condition": {
				"ArnLike": {
					"aws:RequestTag/AmazonECSCreated": "arn:aws:ecs:*:*:task/*"
				},
				"StringEquals": {
					"aws:RequestTag/AmazonECSManaged": "true"
				}
			}
		},
		{
			"Sid": "TagOnCreateVolume",
			"Effect": "Allow",
			"Action": "ec2:CreateTags",
			"Resource": "arn:aws:ec2:*:*:volume/*",
			"Condition": {
				"ArnLike": {
					"aws:RequestTag/AmazonECSCreated": "arn:aws:ecs:*:*:task/*"
				},
				"StringEquals": {
					"ec2:CreateAction": "CreateVolume",
					"aws:RequestTag/AmazonECSManaged": "true"
				}
			}
		},
		{
			"Sid": "DescribeVolumesForLifecycle",
			"Effect": "Allow",
			"Action": [
				"ec2:DescribeVolumes",
				"ec2:DescribeAvailabilityZones"
			],
			"Resource": "*"
		},
		{
			"Sid": "ManageEBSVolumeLifecycle",
			"Effect": "Allow",
			"Action": [
				"ec2:AttachVolume",
				"ec2:DetachVolume"
			],
			"Resource": "arn:aws:ec2:*:*:volume/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceTag/AmazonECSManaged": "true"
				}
			}
		},
		{
			"Sid": "ManageVolumeAttachmentsForEC2",
			"Effect": "Allow",
			"Action": [
				"ec2:AttachVolume",
				"ec2:DetachVolume"
			],
			"Resource": "arn:aws:ec2:*:*:instance/*"
		},
		{
			"Sid": "DeleteEBSManagedVolume",
			"Effect": "Allow",
			"Action": "ec2:DeleteVolume",
			"Resource": "arn:aws:ec2:*:*:volume/*",
			"Condition": {
				"ArnLike": {
					"aws:ResourceTag/AmazonECSCreated": "arn:aws:ecs:*:*:task/*"
				},
				"StringEquals": {
					"aws:ResourceTag/AmazonECSManaged": "true"
				}
			}
		}
	]
}

아마존 EC2 EC2 역할 ContainerServicefor

Amazon ECS는 Amazon EC2 인스턴스 또는 외부 인스턴스에 대해 사용자를 대신해 태스크를 수행할 수 있는 서비스 역할에 이 정책을 연결합니다.

이 정책은 Amazon ECS 컨테이너 인스턴스가 사용자를 대신하여 호출할 AWS 수 있는 관리 권한을 부여합니다. 자세한 설명은 Amazon ECS 컨테이너 인스턴스 IAM 역할 섹션을 참조하세요.

고려 사항

AmazonEC2ContainerServiceforEC2Role 관리형 IAM 정책을 사용할 때 다음 권장 사항 및 고려 사항을 고려해야 합니다.

  • 최소 권한 부여에 대한 표준 보안 권고 사항에 따라 특정 요구 사항에 맞게 AmazonEC2ContainerServiceforEC2Role 관리형 정책을 수정할 수 있습니다. 자신의 사용 사례에서 관리형 정책에서 부여된 권한이 필요하지 않은 경우 사용자 지정 정책을 생성하고 필요한 권한만 추가합니다. 예를 들어 UpdateContainerInstancesState 권한은 스팟 인스턴스 드레이닝에 제공됩니다. 자신의 사용 사례에 이 권한이 필요하지 않은 경우 사용자 지정 정책으로 해당 권한을 제외하세요. 자세한 정보는 권한 세부 정보 섹션을 참조하세요.

  • 컨테이너 인스턴스에서 실행되는 컨테이너는 인스턴스 메타데이터를 통해 컨테이너 인스턴스 역할에 제공된 모든 권한에 액세스할 수 있습니다. 컨테이너 인스턴스 역할의 권한을 관리형 AmazonEC2ContainerServiceforEC2Role 정책에서 제공된 최소 권한 목록으로 제한하는 것이 좋습니다. 태스크의 컨테이너에 나열되지 않은 추가 권한이 필요할 경우, 이러한 태스크에 자체 IAM 역할을 제공하는 것이 좋습니다. 자세한 정보는 태스크 IAM 역할 섹션을 참조하세요.

    docker0 브리지의 컨테이너가 컨테이너 인스턴스 역할에 제공된 권한에 액세스하지 못하도록 할 수 있습니다. 컨테이너 인스턴스에서 다음iptables 명령을 실행하여 태스크 IAM 역할에서 제공하는 권한을 계속 허용하면서 이 태스크를 수행할 수 있습니다. 컨테이너는 이 규칙을 적용한 상태에서는 인스턴스 메타데이터를 쿼리할 수 없습니다. 이 명령은 기본 Docker 브리지 구성을 가정하며, host 네트워크 모드를 사용하는 컨테이너에는 적용되지 않습니다. 자세한 정보는 네트워크 모드 섹션을 참조하세요.

    sudo yum install -y iptables-services; sudo iptables --insert DOCKER USER 1 --in-interface docker+ --destination 169.254.169.254/32 --jump DROP

    재부팅 시 이 iptables 규칙이 유지되게 하려면 규칙을 컨테이너 인스턴스에 저장해야 합니다. Amazon ECS 최적화 AMI의 경우 다음 명령을 사용합니다. 다른 운영 체제의 경우 해당 운영 체제 설명서를 참조하세요.

    • Amazon ECS 최적화 Amazon Linux 2 AMI:

      sudo iptables-save | sudo tee /etc/sysconfig/iptables && sudo systemctl enable --now iptables

    • Amazon ECS 최적화 Amazon Linux AMI:

      sudo service iptables save

권한 세부 정보

AmazonEC2ContainerServiceforEC2Role 관리형 IAM 정책에 다음 권한이 포함되어야 합니다. 최소 권한 부여에 대한 표준 보안 권고 사항에 따라 AmazonEC2ContainerServiceforEC2Role 관리형 정책을 가이드로 사용할 수 있습니다. 사용 사례에 대해 관리형 정책에서 부여한 권한이 필요하지 않은 경우 사용자 지정 정책을 생성하고 필요한 권한만 추가합니다.

  • ec2:DescribeTags – 보안 주체가 Amazon EC2 인스턴스와 연결된 태그를 설명할 수 있습니다. 이 권한은 Amazon ECS 컨테이너 에이전트가 리소스 태그 전파를 지원하는 데 사용합니다. 자세한 정보는 리소스 태그 지정 방법 섹션을 참조하세요.

  • ecs:CreateCluster – 보안 주체가 Amazon ECS 클러스터를 생성할 수 있습니다. 이 권한은 default 클러스터가 이미 존재하지 않는 경우 이를 생성하기 위해 Amazon ECS 컨테이너 에이전트에서 사용합니다.

  • ecs:DeregisterContainerInstance – 보안 주체가 클러스터에서 Amazon ECS 컨테이너 인스턴스의 등록을 취소할 수 있습니다. Amazon ECS 컨테이너 에이전트는 이 API 작업을 호출하지 않지만, 이 권한은 이전 버전과의 호환성을 보장하기 위한 것입니다.

  • ecs:DiscoverPollEndpoint – 이 태스크는 Amazon ECS 컨테이너 에이전트가 업데이트를 폴링하는 데 사용하는 엔드포인트를 반환합니다.

  • ecs:Poll – Amazon ECS 컨테이너 에이전트가 Amazon ECS 제어 영역과 통신하여 태스크 상태 변경 사항을 보고할 수 있습니다.

  • ecs:RegisterContainerInstance – 보안 주체가 클러스터에 컨테이너 인스턴스를 등록할 수 있습니다. Amazon ECS 컨테이너 에이전트는 Amazon EC2 인스턴스를 클러스터에 등록하고 리소스 태그 전파를 지원하는 데 이 권한을 사용합니다.

  • ecs:StartTelemetrySession – Amazon ECS 컨테이너 에이전트가 Amazon ECS 제어 영역과 통신하여 각 컨테이너 및 태스크에 대한 상태 정보 및 지표를 보고할 수 있습니다.

  • ecs:TagResource - Amazon ECS 컨테이너 에이전트가 클러스터 생성 시 클러스터에 태그를 지정하고, 컨테이너 인스턴스가 클러스터에 등록될 때 인스턴스에 태그를 지정할 수 있습니다.

  • ecs:UpdateContainerInstancesState – 보안 주체가 Amazon ECS 컨테이너 인스턴스의 상태를 수정할 수 있습니다. 이 권한은 Amazon ECS 컨테이너 에이전트가 스팟 인스턴스 드레이닝에 사용합니다. 자세한 정보는 스팟 인스턴스 드레이닝 섹션을 참조하세요.

  • ecs:Submit* – 여기에는 SubmitAttachmentStateChanges, SubmitContainerStateChange, 및 SubmitTaskStateChange API 작업이 포함됩니다. 각 리소스의 상태 변경 사항을 Amazon ECS 제어 영역에 보고하기 위해 Amazon ECS 컨테이너 에이전트에서 사용합니다. Amazon ECS 컨테이너 에이전트는 이 SubmitContainerStateChange 권한을 더 이상 사용하지 않지만 이전 버전과의 호환성을 보장하기 위한 것으로 남아 있습니다.

  • ecr:GetAuthorizationToken – 보안 주체가 권한 부여 토큰을 검색할 수 있습니다. 권한 부여 토큰은 IAM 인증 자격 증명을 나타내며 IAM 보안 주체가 액세스할 수 있는 모든 Amazon ECR 레지스트리에 액세스하는 데 사용할 수 있습니다. 수신된 권한 부여 토큰은 12시간 동안 유효합니다.

  • ecr:BatchCheckLayerAvailability – 컨테이너 이미지가 Amazon ECR 프라이빗 리포지토리에 푸시되면 이미지가 이미 푸시되었는지 확인하기 위해 각 이미지 계층을 검사합니다. 이미지가 푸시되었다면 이미지 계층을 건너뜁니다.

  • ecr:GetDownloadUrlForLayer – Amazon ECR 프라이빗 리포지토리에서 컨테이너 이미지를 가져오면 아직 캐시되지 않은 각 이미지 레이어에 대해 이 API를 한 번 호출합니다.

  • ecr:BatchGetImage – Amazon ECR 프라이빗 리포지토리에서 컨테이너 이미지를 가져오면 이미지 매니페스트를 검색하기 위해 이 API를 한 번 호출합니다.

  • logs:CreateLogStream— 주체가 지정된 로그 그룹에 대한 로그 CloudWatch 로그 스트림을 생성할 수 있습니다.

  • logs:PutLogEvents – 보안 주체가 로그 이벤트의 배치를 지정된 로그 스트림에 업로드할 수 있습니다.

다음은 예제 AmazonEC2ContainerServiceforEC2Role 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeTags",
                "ecs:CreateCluster",
                "ecs:DeregisterContainerInstance",
                "ecs:DiscoverPollEndpoint",
                "ecs:Poll",
                "ecs:RegisterContainerInstance",
                "ecs:StartTelemetrySession",
                "ecs:UpdateContainerInstancesState",
                "ecs:Submit*",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ecs:TagResource",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ecs:CreateAction": [
                        "CreateCluster",
                        "RegisterContainerInstance"
                    ]
                }
            }
        }
    ]
}

AmazonEC2 ContainerServiceEventsRole

이 정책은 Amazon EventBridge (이전의 CloudWatch Events) 이 사용자를 대신하여 작업을 실행할 수 있는 권한을 부여합니다. 이 정책은 예약된 태스크를 생성할 때 지정한 IAM 역할에 연결할 수 있습니다. 자세한 정보는 아마존 ECS EventBridge IAM 역할 섹션을 참조하세요.

권한 세부 정보

이 정책에는 다음 권한이 포함되어 있습니다.

  • ecs— 서비스의 보안 주체가 Amazon ECS RunTask API를 호출할 수 있도록 허용합니다. 서비스의 보안 주체가 Amazon ECS RunTask API를 호출할 때 태그 (TagResource) 를 추가할 수 있도록 허용합니다.

  • iam – 모든 Amazon ECS 태스크에 IAM 서비스 역할을 전달할 수 있습니다.

다음은 예제 AmazonEC2ContainerServiceEventsRole 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["ecs:RunTask"],
            "Resource": ["*"]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": ["*"],
            "Condition": {
                "StringLike": {"iam:PassedToService": "ecs-tasks.amazonaws.com"}
            }
        },
        {
            "Effect": "Allow",
            "Action": "ecs:TagResource",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ecs:CreateAction": ["RunTask"]
                }
            }
        }
    ]
}

AmazonECS TaskExecutionRolePolicy

AmazonECSTaskExecutionRolePolicy관리형 IAM 정책은 Amazon ECS 컨테이너 에이전트와 AWS Fargate 컨테이너 에이전트가 사용자를 대신하여 AWS API를 호출하는 데 필요한 권한을 부여합니다. 이 정책은 태스크 실행 IAM 역할에 추가할 수 있습니다. 자세한 정보는 Amazon ECS 태스크 실행 IAM 역할 섹션을 참조하세요.

권한 세부 정보

AmazonECSTaskExecutionRolePolicy 관리형 IAM 정책에 다음 권한이 포함되어야 합니다. 최소 권한 부여에 대한 표준 보안 권고 사항에 따라 AmazonECSTaskExecutionRolePolicy 관리형 정책을 가이드로 사용할 수 있습니다. 자신의 사용 사례에서 관리형 정책에서 부여된 권한이 필요하지 않은 경우 사용자 지정 정책을 생성하고 필요한 권한만 추가합니다.

  • ecr:GetAuthorizationToken – 보안 주체가 권한 부여 토큰을 검색할 수 있습니다. 권한 부여 토큰은 IAM 인증 자격 증명을 나타내며 IAM 보안 주체가 액세스할 수 있는 모든 Amazon ECR 레지스트리에 액세스하는 데 사용할 수 있습니다. 수신된 권한 부여 토큰은 12시간 동안 유효합니다.

  • ecr:BatchCheckLayerAvailability – 컨테이너 이미지가 Amazon ECR 프라이빗 리포지토리에 푸시되면 이미지가 이미 푸시되었는지 확인하기 위해 각 이미지 계층을 검사합니다. 이미지가 푸시되었다면 이미지 계층을 건너뜁니다.

  • ecr:GetDownloadUrlForLayer – Amazon ECR 프라이빗 리포지토리에서 컨테이너 이미지를 가져오면 아직 캐시되지 않은 각 이미지 레이어에 대해 이 API를 한 번 호출합니다.

  • ecr:BatchGetImage – Amazon ECR 프라이빗 리포지토리에서 컨테이너 이미지를 가져오면 이미지 매니페스트를 검색하기 위해 이 API를 한 번 호출합니다.

  • logs:CreateLogStream— 보안 주체가 지정된 로그 그룹에 대한 CloudWatch 로그 로그 스트림을 생성할 수 있습니다.

  • logs:PutLogEvents – 보안 주체가 로그 이벤트의 배치를 지정된 로그 스트림에 업로드할 수 있습니다.

다음은 예제 AmazonECSTaskExecutionRolePolicy 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        }
    ]
}

AmazonECS ServiceRolePolicy

AmazonECSServiceRolePolicy 관리형 IAM 정책을 사용하면 Amazon Elastic Container Service에서 클러스터를 관리할 수 있습니다. 이 정책은 태스크 실행 IAM 역할에 추가할 수 있습니다. 자세한 정보는 Amazon ECS 태스크 실행 IAM 역할 섹션을 참조하세요.

권한 세부 정보

AmazonECSServiceRolePolicy 관리형 IAM 정책에 다음 권한이 포함되어야 합니다. 최소 권한 부여에 대한 표준 보안 권고 사항에 따라 AmazonECSServiceRolePolicy 관리형 정책을 가이드로 사용할 수 있습니다. 자신의 사용 사례에서 관리형 정책에서 부여된 권한이 필요하지 않은 경우 사용자 지정 정책을 생성하고 필요한 권한만 추가합니다.

  • autoscaling – 보안 주체가 Amazon EC2 Auto Scaling 리소스를 생성, 관리 및 설명할 수 있습니다. 이는 클러스터 자동 조정 기능을 사용할 때 Amazon EC2 Auto Scaling 그룹을 관리할 때 필요합니다.

  • autoscaling-plans - 보안 주체가 Auto Scaling 계획을 생성, 삭제 및 설명할 수 있습니다.

  • cloudwatch— 보안 주체가 Amazon CloudWatch 경보를 생성, 관리 및 설명할 수 있습니다.

  • ec2— 보안 주체가 Amazon EC2 인스턴스를 실행하고 네트워크 인터페이스 및 태그를 생성 및 관리할 수 있습니다.

  • elasticloadbalancing – 보안 주체가 Elastic Load Balancing 로드 밸런서를 생성, 설명 및 삭제할 수 있습니다. 또한 주도자는 대상 그룹을 추가하고 설명할 수 있습니다.

  • logs— 주도자가 Amazon CloudWatch Logs 로그 그룹을 생성하고 설명할 수 있습니다. 또한 보안 주체는 해당 로그 그룹에 대해 로그 이벤트를 나열할 수 있습니다.

  • route53 – 보안 주체가 Amazon Route 53 호스팅 영역을 생성, 관리 및 삭제할 수 있습니다. 또한 보안 주체는 Amazon Route 53 상태 확인 구성 및 정보를 확인할 수 있습니다. 자세한 정보는 호스팅 영역 태스크를 참조하세요.

  • servicediscovery— 보안 주체가 AWS Cloud Map 서비스를 생성, 관리, 삭제하고 프라이빗 DNS 네임스페이스를 생성할 수 있습니다.

  • events— 보안 주체가 Amazon EventBridge 규칙 및 해당 대상을 생성, 관리 및 삭제할 수 있습니다.

다음은 예제 AmazonECSServiceRolePolicy 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ECSTaskManagement",
            "Effect": "Allow",
            "Action": [
                "ec2:AttachNetworkInterface",
                "ec2:CreateNetworkInterface",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:DeleteNetworkInterface",
                "ec2:DeleteNetworkInterfacePermission",
                "ec2:Describe*",
                "ec2:DetachNetworkInterface",
                "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
                "elasticloadbalancing:DeregisterTargets",
                "elasticloadbalancing:Describe*",
                "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
                "elasticloadbalancing:RegisterTargets",
                "route53:ChangeResourceRecordSets",
                "route53:CreateHealthCheck",
                "route53:DeleteHealthCheck",
                "route53:Get*",
                "route53:List*",
                "route53:UpdateHealthCheck",
                "servicediscovery:DeregisterInstance",
                "servicediscovery:Get*",
                "servicediscovery:List*",
                "servicediscovery:RegisterInstance",
                "servicediscovery:UpdateInstanceCustomHealthStatus"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AutoScaling",
            "Effect": "Allow",
            "Action": [
                "autoscaling:Describe*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AutoScalingManagement",
            "Effect": "Allow",
            "Action": [
                "autoscaling:DeletePolicy",
                "autoscaling:PutScalingPolicy",
                "autoscaling:SetInstanceProtection",
                "autoscaling:UpdateAutoScalingGroup",
                "autoscaling:PutLifecycleHook",
                "autoscaling:DeleteLifecycleHook",
                "autoscaling:CompleteLifecycleAction",
                "autoscaling:RecordLifecycleActionHeartbeat"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "autoscaling:ResourceTag/AmazonECSManaged": "false"
                }
            }
        },
        {
            "Sid": "AutoScalingPlanManagement",
            "Effect": "Allow",
            "Action": [
                "autoscaling-plans:CreateScalingPlan",
                "autoscaling-plans:DeleteScalingPlan",
                "autoscaling-plans:DescribeScalingPlans",
                "autoscaling-plans:DescribeScalingPlanResources"
            ],
            "Resource": "*"
        },
        {
            "Sid": "EventBridge",
            "Effect": "Allow",
            "Action": [
                "events:DescribeRule",
                "events:ListTargetsByRule"
            ],
            "Resource": "arn:aws:events:*:*:rule/ecs-managed-*"
        },
        {
            "Sid": "EventBridgeRuleManagement",
            "Effect": "Allow",
            "Action": [
                "events:PutRule",
                "events:PutTargets"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "ecs.amazonaws.com"
                }
            }
        },
        {
            "Sid": "CWAlarmManagement",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:DeleteAlarms",
                "cloudwatch:DescribeAlarms",
                "cloudwatch:PutMetricAlarm"
            ],
            "Resource": "arn:aws:cloudwatch:*:*:alarm:*"
        },
        {
            "Sid": "ECSTagging",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*:*:network-interface/*"
        },
        {
            "Sid": "CWLogGroupManagement",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:DescribeLogGroups",
                "logs:PutRetentionPolicy"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/ecs/*"
        },
        {
            "Sid": "CWLogStreamManagement",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/ecs/*:log-stream:*"
        },
        {
            "Sid": "ExecuteCommandSessionManagement",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeSessions"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ExecuteCommand",
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ecs:*:*:task/*",
                "arn:aws:ssm:*:*:document/AmazonECS-ExecuteInteractiveCommand"
            ]
        },
        {
            "Sid": "CloudMapResourceCreation",
            "Effect": "Allow",
            "Action": [
                "servicediscovery:CreateHttpNamespace",
                "servicediscovery:CreateService"
            ],
            "Resource": "*",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "AmazonECSManaged"
                    ]
                }
            }
        },
        {
            "Sid": "CloudMapResourceTagging",
            "Effect": "Allow",
            "Action": "servicediscovery:TagResource",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AmazonECSManaged": "*"
                }
            }
        },
        {
            "Sid": "CloudMapResourceDeletion",
            "Effect": "Allow",
            "Action": [
                "servicediscovery:DeleteService"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/AmazonECSManaged": "false"
                }
            }
        },
        {
            "Sid": "CloudMapResourceDiscovery",
            "Effect": "Allow",
            "Action": [
                "servicediscovery:DiscoverInstances",
                "servicediscovery:DiscoverInstancesRevision"
            ],
            "Resource": "*"
        }
    ]
}

AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity

사용자를 대신하여 AWS Private Certificate Authority Amazon ECS Service Connect TLS 기능을 관리하는 데 필요한 Secrets Manager 및 기타 AWS 서비스에 대한 관리 액세스 권한을 제공합니다.

권한 세부 정보

AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity 관리형 IAM 정책에 다음 권한이 포함되어야 합니다. 최소 권한 부여에 대한 표준 보안 권고 사항에 따라 AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity 관리형 정책을 가이드로 사용할 수 있습니다. 자신의 사용 사례에서 관리형 정책에서 부여된 권한이 필요하지 않은 경우 사용자 지정 정책을 생성하고 필요한 권한만 추가합니다.

  • secretsmanager:CreateSecret— 담당자가 암호를 생성할 수 있도록 허용합니다. 이는 Service Connect TLS에 필수이며, Amazon ECS는 고객의 개인 키를 고객의 Secrets Manager 비밀에 보관합니다.

  • secretsmanager:TagResource— 보안 담당자가 생성된 암호에 태그를 첨부할 수 있습니다. Amazon ECS가 고객을 대신하여 암호를 생성하고 리소스에 태그를 첨부하기 때문에 Service Connect TLS에 필요합니다. 이러한 태그를 사용하면 고객이 관리 암호를 식별하고 이러한 암호에 대한 조치를 제한할 수 있는 더 쉬운 방법을 제공합니다.

  • secretsmanager:DescribeSecret— 담당자가 암호를 설명하고 현재 버전 단계를 검색할 수 있도록 합니다. Amazon ECS가 Amazon ECS Service Connect TLS 자료 로테이션을 수행하려면 반드시 필요합니다.

  • secretsmanager:UpdateSecret— 담당자가 암호를 업데이트하도록 허용하십시오. Amazon ECS는 Amazon ECS Service Connect TLS 자료 로테이션을 수행하고 새로운 자료로 보안 정보를 업데이트해야 합니다.

  • secretsmanager:GetSecretValue— 보안 담당자가 비밀 값을 가져오도록 허용하십시오. Amazon ECS가 Amazon ECS Service Connect TLS 자료 로테이션을 수행하려면 반드시 필요합니다.

  • secretsmanager:PutSecretValue— 담당자가 비밀 값을 입력하도록 허용하십시오. Amazon ECS가 Amazon ECS Service Connect TLS 자료 로테이션을 수행하려면 반드시 필요합니다.

  • secretsmanager:UpdateSecretVersionStage— 담당자가 보안 버전 단계를 업데이트하도록 허용하십시오. Amazon ECS가 Amazon ECS Service Connect TLS 자료 로테이션을 수행하려면 반드시 필요합니다.

  • acm-pca:IssueCertificate— 담당자가 Amazon ECS 서비스 연결 TLS를 IssueCertificate 요청하도록 허용합니다. End entity certificate ECS에서 고객의 업스트림 서비스를 위한 인증서를 생성해야 했습니다.

  • acm-pca:GetCertificate— 담당자가 Amazon ECS 서비스 연결 TLS를 GetCertificate 요청하도록 허용합니다. End entity certificate

  • acm-pca:GetCertificateAuthorityCertificate— 주체가 인증 기관 인증서를 받을 수 있도록 허용합니다. 고객의 다운스트림 서비스가 업스트림 최종 엔티티 인증서를 신뢰할 수 있으려면 Amazon ECS Service Connect TLS가 필요합니다.

  • acm-pca:DescribeCertificateAuthority— 보안 주체가 인증 기관에 대한 세부 정보를 얻을 수 있도록 허용하십시오. Amazon ECS Service Connect TLS는 서명 알고리즘과 같은 정보를 재사용하여 CSR (인증서 서명 요청) 을 생성해야 합니다.

다음은 예제 AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateSecret",
            "Effect": "Allow",
            "Action": "secretsmanager:CreateSecret",
            "Resource": "arn:aws:secretsmanager:*:*:secret:ecs-sc!*",
            "Condition": {
                "ArnLike": {
                    "aws:RequestTag/AmazonECSCreated": [
                        "arn:aws:ecs:*:*:service/*/*",
                        "arn:aws:ecs:*:*:task-set/*/*"
                    ]
                },
                "StringEquals": {
                    "aws:RequestTag/AmazonECSManaged": "true",
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "TagOnCreateSecret",
            "Effect": "Allow",
            "Action": "secretsmanager:TagResource",
            "Resource": "arn:aws:secretsmanager:*:*:secret:ecs-sc!*",
            "Condition": {
                "ArnLike": {
                     "aws:RequestTag/AmazonECSCreated": [
                        "arn:aws:ecs:*:*:service/*/*",
                        "arn:aws:ecs:*:*:task-set/*/*"
                    ]
                },
                "StringEquals": {
                    "aws:RequestTag/AmazonECSManaged": "true",
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "RotateTLSCertificateSecret",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:DescribeSecret",
                "secretsmanager:UpdateSecret",
                "secretsmanager:GetSecretValue",
                "secretsmanager:PutSecretValue",
                "secretsmanager:DeleteSecret",
                "secretsmanager:RotateSecret",
                "secretsmanager:UpdateSecretVersionStage"
            ],
            "Resource": "arn:aws:secretsmanager:*:*:secret:ecs-sc!*",
            "Condition": {
                "StringEquals": {
                    "secretsmanager:ResourceTag/aws:secretsmanager:owningService": "ecs-sc",
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "ManagePrivateCertificateAuthority",
            "Effect": "Allow",
            "Action": [
                "acm-pca:GetCertificate",
                "acm-pca:GetCertificateAuthorityCertificate",
                "acm-pca:DescribeCertificateAuthority"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/AmazonECSManaged": "true"
                }
            }
        },
        {
            "Sid": "ManagePrivateCertificateAuthorityForIssuingEndEntityCertificate",
            "Effect": "Allow",
            "Action": [
                "acm-pca:IssueCertificate"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/AmazonECSManaged": "true",
                    "acm-pca:TemplateArn":"arn:aws:acm-pca:::template/EndEntityCertificate/V1"
                }
            }
        }
    ]
}

AWSApplicationAutoscalingECSServicePolicy

AWSApplicationAutoscalingECSServicePolicy를 IAM 엔터티에 연결할 수 없습니다. 이 정책은 Application Auto Scaling에서 사용자를 대신하여 태스크를 수행할 수 있도록 서비스 연결 역할에 연결됩니다. 자세한 정보는 Application Auto Scaling에 대한 서비스 연결 역할을 참조하세요.

AWSCodeDeployRoleForECS

AWSCodeDeployRoleForECS를 IAM 엔터티에 연결할 수 없습니다. 이 정책은 사용자를 대신하여 작업을 수행할 수 CodeDeploy 있는 서비스 연결 역할에 연결됩니다. 자세한 내용은 CodeDeploy AWS CodeDeploy 사용 설명서의 서비스 역할 만들기를 참조하십시오.

AWSCodeDeployRoleForECSLimited

AWSCodeDeployRoleForECSLimited를 IAM 엔터티에 연결할 수 없습니다. 이 정책은 사용자를 CodeDeploy 대신하여 작업을 수행할 수 있는 서비스 연결 역할에 연결됩니다. 자세한 내용은 CodeDeploy AWS CodeDeploy 사용 설명서의 서비스 역할 만들기를 참조하십시오.

Amazon ECS에서 AWS 관리형 정책을 업데이트했습니다.

이 서비스가 이러한 변경 사항을 추적하기 시작한 이후 Amazon ECS의 AWS 관리형 정책 업데이트에 대한 세부 정보를 확인하십시오. 이 페이지의 변경 사항에 대한 자동 알림을 받아보려면 Amazon ECS 문서 기록 페이지에서 RSS 피드를 구독하세요.

변경 사항 설명 날짜

새 AmazonECS 정책 InfrastructureRolePolicyForServiceConnectTransport LayerSecurity 추가

AWS Private Certificate Authority Secrets Manager에 대한 관리 InfrastructureRolePolicyForServiceConnectTransport LayerSecurity 액세스를 제공하고 Amazon ECS Service Connect AWS KMS TLS 기능이 제대로 작동할 수 있도록 하는 새로운 AmazonECS 정책이 추가되었습니다.

 2024년 1월 22일

AmazonECS에 새 정책 추가 InfrastructureRolePolicyForVolumes

 AmazonECSInfrastructureRolePolicyForVolumes정책이 추가되었습니다. 이 정책은 Amazon ECS가 Amazon ECS 워크로드와 관련된 Amazon EBS 볼륨을 관리하기 위해 AWS API 호출을 수행하는 데 필요한 권한을 부여합니다. 2024년 1월 11일

AmazonECS에 권한 추가 ServiceRolePolicy

 AmazonECSServiceRolePolicy관리형 IAM 정책이 새 events 권한과 추가 및 권한으로 업데이트되었습니다. autoscaling autoscaling-plans 2023년 12월 4일

AmazonEC2에 권한을 추가합니다. ContainerServiceEventsRole

AmazonECSServiceRolePolicy관리형 IAM 정책은 API 작업에 대한 액세스를 허용하도록 업데이트되었습니다. AWS Cloud Map DiscoverInstancesRevision 2023년 10월 4일

ContainerServiceforAmazonEC2 EC2 역할에 권한을 추가합니다.

 새로 생성된 클러스터와 등록된 컨테이너 인스턴스로만 ecs:TagResource 권한을 제한하는 조건이 포함된 권한을 추가하도록 AmazonEC2ContainerServiceforEC2Role 정책을 수정했습니다. 2023년 3월 6일

AmazonECS_ FullAccess에 권한 추가

 새로 생성한 로드 밸런서, 대상 그룹, 규칙, 생성한 리스너로만 권한을 제한하는 조건이 포함된 권한을 추가하도록 AmazonECS_FullAccess 정책이 수정되었습니다. elasticloadbalancing:AddTags 이 권한은 이미 생성된 Elastic Load Balancing 리소스에 태그를 추가하는 것을 허용하지 않습니다. 2023년 1월 4일

Amazon ECS 변경 사항 추적 시작

Amazon ECS는 AWS 관리형 정책의 변경 사항을 추적하기 시작했습니다.

 2021년 6월 8일