Criação do perfil de execução de tarefa (ecsTaskExecutionRole)Permissões do IAM necessárias para a autenticação de registro privado Permissões obrigatórias do IAM para segredos do Amazon ECS Permissões opcionais do IAM para tarefas do Fargate que extraem imagens do Amazon ECR em endpoints de interface

Função do IAM de execução de tarefas do Amazon ECS

A função de execução de tarefas concede ao contêiner do Amazon ECS e aos agentes do Fargate permissão para fazer chamadas da API da AWS em seu nome. A função do IAM para execução da tarefa é necessária dependendo dos requisitos da sua tarefa. É possível ter várias funções de execução de tarefas para diferentes finalidades e serviços associados à sua conta. Para obter as permissões do IAM que sua aplicação precisa para ser executada, consulte Função do IAM de tarefa.

Veja a seguir os casos de uso comuns para uma função do IAM de execução de tarefas:

Sua tarefa está hospedada em AWS Fargateou em uma instância externa e:
- está extraindo uma imagem de contêiner de um repositório privado do Amazon ECR.
- está extraindo uma imagem de contêiner de um repositório privado do Amazon ECR em uma conta diferente daquela que executará a tarefa.
- envia registros de contêiner para o CloudWatch Logs usando o driver de awslogs log. Para ter mais informações, consulte Usar o driver de log awslogs.
Suas tarefas são hospedadas em uma das AWS Fargate instâncias do Amazon EC2 e...
- está usando a autenticação de registro privado. Para ter mais informações, consulte Permissões do IAM necessárias para a autenticação de registro privado.
- está usando o Runtime Monitoring.
- a definição de tarefa faz referência a dados sigilosos usando segredos do Secrets Manager ou parâmetros do AWS Systems Manager Parameter Store. Para ter mais informações, consulte Permissões obrigatórias do IAM para segredos do Amazon ECS.

nota

A função de execução de tarefas é compatível com a versão 1.16.0 e posterior do agente de contêiner do Amazon ECS.

O Amazon ECS fornece a política gerenciada denominada AmazonECSTaskExecutionRolePolicy, que contém as permissões que os casos de uso comuns descritos acima exigem. Talvez seja necessário adicionar políticas em linha ao seu perfil de execução de tarefas para os casos de uso especiais descritos abaixo.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        }
    ]
}

A função de execução de tarefas do Amazon ECS pode ser criada para você no console do Amazon ECS. Porém, você deve anexar manualmente a política gerenciada do IAM para as tarefas permitirem que o Amazon ECS adicione permissões para recursos e aprimoramentos futuros à medida que forem introduzidos. Você pode usar a pesquisa do console do IAM para pesquisar ecsTaskExecutionRole e ver se sua conta já tem a função de execução de tarefas. Para obter mais informações, consulte a pesquisa do console do IAM no guia do usuário do IAM.

Criação do perfil de execução de tarefa (`ecsTaskExecutionRole`)

Se sua conta ainda não tiver uma função de execução de tarefas, use as etapas a seguir para criar a função.

AWS Management Console

Para criar uma função do IAM (AWS Management Console) de execução de tarefas

Abra o console do IAM em https://console.aws.amazon.com/iam/.
No painel de navegação, escolha Roles e depois Create Role.
Na seção Tipo de entidade confiável, escolha Serviço da AWS , Elastic Container Service.
Em Caso de uso, escolha Tarefa do Elastic Container Service e, em seguida, Próximo.
Na seção Adicionar permissões, faça o seguinte:
1. Pesquise TaskExecutionRolePolicyAmazonECS e selecione a política.
2. Em Set permissions boundary - optional (Definir limite de permissões - opcional), escolha Create role without a permissions boundary (Criar função sem limite de permissões).
3. Escolha Próximo.
Em Nome, revise e crie, faça o seguinte:
1. Em Role name, insira ecsTaskExecutionRole.
2. Em Add tags (optional) (Adicionar etiquetas (opcional)), especifique todas as etiquetas personalizadas a serem associadas à política.
Selecione Criar função.

AWS CLI

Substitua todas as entradas do usuário por suas próprias informações.

Crie um arquivo denominado ecs-tasks-trust-policy.json que contenha a política de confiança a ser usada para a função do IAM. O arquivo deve conter o seguinte:


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs-tasks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Crie uma função do IAM denominada ecsTaskExecutionRole usando a política de confiança criada na etapa anterior.


aws iam create-role \
      --role-name ecsTaskExecutionRole \
      --assume-role-policy-document file://ecs-tasks-trust-policy.json

Anexe a AmazonECSTaskExecutionRolePolicy política AWS gerenciada à ecsTaskExecutionRole função.


aws iam attach-role-policy \
      --role-name ecsTaskExecutionRole \
      --policy-arn arn:aws:iam::aws:policy/service-role/AmazonECSTaskExecutionRolePolicy

Permissões do IAM necessárias para a autenticação de registro privado

É necessária a função de execução da tarefa do Amazon ECS para usar esse recurso. Isso permite que o agente de contêiner obtenha a imagem do contêiner.

Para fornecer acesso aos segredos criados por você, adicione as permissões a seguir como uma política em linha à função de execução da tarefa. Para obter mais informações, consulte Adicionar e remover políticas do IAM.

secretsmanager:GetSecretValue
kms:Decrypt: exigido somente se a chave usar uma chave do KMS personalizada e não a chave padrão. O nome do recurso da Amazon (ARN) da chave personalizada deve ser adicionado como um recurso.

Veja a seguir um exemplo de política em linha que adiciona as permissões.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:<region>:<aws_account_id>:secret:secret_name",
                "arn:aws:kms:<region>:<aws_account_id>:key/key_id"
            ]
        }
    ]
}

Permissões obrigatórias do IAM para segredos do Amazon ECS

Para usar o recurso de segredos do Amazon ECS, você deve ter a função de execução de tarefas do Amazon ECS e fazer referência a ela na definição de tarefa. Isso permite que o agente do contêiner obtenha os recursos necessários AWS Systems Manager ou do Secrets Manager. Para ter mais informações, consulte Passar dados confidenciais para um contêiner.

Uso do Secrets Manager

Para fornecer acesso aos segredos do Secrets Manager criados por você, adicione manualmente as permissões a seguir ao perfil de execução da tarefa. Para obter informações sobre como gerenciar permissões, consulte Adicionar e remover permissões de identidade do IAM no Guia do usuário do IAM.

secretsmanager:GetSecretValue: obrigatório se você estiver fazendo referência a um segredo do Secrets Manager. Adiciona a permissão para recuperar o segredo do Secrets Manager.

O exemplo de política a seguir adiciona as permissões necessárias.


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": [
        "arn:aws:secretsmanager:region:aws_account_id:secret:secret_name"
      ]
    }
  ]
}

Uso do Systems Manager

Importante

Para tarefas que usam o tipo de inicialização do EC2, você deve usar a variável de configuração do agente do ECS ECS_ENABLE_AWSLOGS_EXECUTIONROLE_OVERRIDE=true para usar esse recurso. É possível adicioná-lo ao arquivo ./etc/ecs/ecs.config durante a criação da instância de contêiner ou adicioná-lo a uma instância existente e reiniciar o agente do ECS. Para ter mais informações, consulte Configuração do agente de contêiner do Amazon ECS.

Para dar acesso aos parâmetros do Systems Manager Parameter Store que você cria, adicione manualmente as permissões a seguir como uma política ao perfil de execução da tarefa. Para obter informações sobre como gerenciar permissões, consulte Adicionar e remover permissões de identidade do IAM no Guia do usuário do IAM.

ssm:GetParameters: obrigatório se você estiver fazendo referência a um parâmetro do Systems Manager Parameter Store em uma definição de tarefa. Adiciona a permissão para recuperar os parâmetros do Systems Manager.
secretsmanager:GetSecretValue: obrigatório se você estiver fazendo referência direta a um segredo do Secrets Manager ou se o parâmetro do Systems Manager Parameter Store estiver fazendo referência a um segredo do Secrets Manager em uma definição de tarefa. Adiciona a permissão para recuperar o segredo do Secrets Manager.
kms:Decrypt: obrigatório somente se o segredo usar uma chave gerenciada pelo cliente e não a chave padrão. O ARN da sua chave personalizada deve ser adicionado como recurso. Adiciona a permissão para descriptografar a chave gerenciada pelo cliente.

O exemplo de política a seguir adiciona as permissões necessárias:


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetParameters",
        "secretsmanager:GetSecretValue",
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:ssm:region:aws_account_id:parameter/parameter_name",
        "arn:aws:secretsmanager:region:aws_account_id:secret:secret_name",
        "arn:aws:kms:region:aws_account_id:key/key_id"
      ]
    }
  ]
}

Permissões opcionais do IAM para tarefas do Fargate que extraem imagens do Amazon ECR em endpoints de interface

Ao iniciar tarefas que usam o tipo de inicialização do Fargate que extraem imagens do Amazon ECR quando o Amazon ECR está configurado para usar um endpoint da VPC de interface, você pode restringir o acesso das tarefas a uma VPC ou a um endpoint da VPC específico. Faça isso criando uma função de execução de tarefas que use chaves de condição do IAM.

Use as seguintes chaves de condição globais do IAM para restringir o acesso a uma VPC ou a um endpoint da VPC específico. Para obter mais informações, consulte Chaves de contexto de condição globais da AWS.

aws:SourceVpc: restringe o acesso a uma VPC específica.
aws:SourceVpce: restringe o acesso a um endpoint da VPC específico.

A política da função de execução de tarefas a seguir fornece um exemplo para adicionar chaves de condição.

Importante

A ação da ecr:GetAuthorizationToken API não pode ter as chaves de aws:sourceVpce condição aws:sourceVpc ou aplicadas a ela porque a chamada da GetAuthorizationToken API passa pela interface de rede elástica de propriedade da AWS Fargate, em vez da interface de rede elástica da tarefa.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:sourceVpce": "vpce-xxxxxx",
                    "aws:sourceVpc": "vpc-xxxxx"
                }
            }
        }
    ]
}

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

Permissões necessárias para usar o console do Amazon ECS

Função do IAM de tarefa