允许 AWS OpsWorks Stacks 代表你行事

重要

该 AWS OpsWorks Stacks 服务于 2024 年 5 月 26 日终止，新客户和现有客户均已禁用。我们强烈建议客户尽快将其工作负载迁移到其他解决方案。如果您对迁移有疑问，请通过 re AWS : Post 或通过 Pre mium Su AWS pp ort 与 AWS Support 团队联系。

AWS OpsWorks Stacks 需要代表您与各种 AWS 服务进行交互。例如， AWS OpsWorks Stacks 与 Amazon EC2 交互以创建实例，与亚马逊交互 CloudWatch 以获取监控统计数据。创建堆栈时，您可以指定一个 IAM 角色（通常称为服务角色），该角色向 AWS OpsWorks Stacks 授予相应的权限。

当您指定一个新堆栈的服务角色时，可以执行下列操作之一：

• 指定您之前创建的标准服务角色。

  您通常可在创建第一个堆栈时创建一个标准服务角色，然后将该角色用于所有后续堆栈。

• 指定您使用 IAM; 控制台或 API 创建的自定义服务角色。

  如果您想向 AWS OpsWorks Stacks授予比标准服务角色更多的有限权限，则此方法非常有用。

注意

要创建您的第一个堆栈，您必须拥有 IAM AdministratorAccess策略模板中定义的权限。这些权限允许 AWS OpsWorks Stacks 创建新的 IAM 服务角色并允许您导入用户，如前文所述。对于所有后续堆栈，用户可选择为第一个堆栈创建的服务角色；这些用户无需完整的管理权限便可创建堆栈。

标准服务角色授予下列权限：

• 执行所有 Amazon EC2 操作 (ec2:*)。

• 获取 CloudWatch 统计数据 (cloudwatch:GetMetricStatistics)。

• 使用 Elastic Load Balancing 将流量分配到服务器（elasticloadbalancing:*）。

• 使用 Amazon RDS 实例作为数据库服务器 (rds:*)。

• 使用 IAM 角色 (iam:PassRole) 在 AWS OpsWorks 堆栈和您的 Amazon EC2 实例之间提供安全的通信。

如果您创建自定义服务角色，则必须确保该角色授予 Stacks 管理 AWS OpsWorks 堆栈所需的所有权限。以下 JSON 示例是标准服务角色的策略声明；自定义服务角色应在其策略声明中至少包含以下权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:*",
                "iam:PassRole",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:DescribeAlarms",
                "ecs:*",
                "elasticloadbalancing:*",
                "rds:*"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        }
    ]
}

服务角色还具有信任关系。 AWS OpsWorks Stacks 创建的服务角色具有以下信任关系。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "StsAssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "opsworks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

服务角色必须具有这种信任关系， AWS OpsWorks Stacks 才能代表您行事。如果您使用默认服务角色，请勿修改信任关系。如果您正在创建自定义服务角色，请通过执行以下之一指定信任关系：

• 如果您在 IAM 控制台中使用创建角色向导，请在选择用例中选择 Opsworks。此角色具有相应的信任关系，但未隐含附加任何策略。要授予 AWS OpsWorks Stacks 代表您执行操作的权限，请创建包含以下内容的客户管理型策略，并将其附加到新角色。

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cloudwatch:DescribeAlarms",
          "cloudwatch:GetMetricStatistics",
          "ec2:*",
          "ecs:*",
          "elasticloadbalancing:*",
          "iam:GetRolePolicy",
          "iam:ListInstanceProfiles",
          "iam:ListRoles",
          "iam:ListUsers",
          "rds:*"
        ],
        "Resource": [
          "*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "iam:PassRole"
        ],
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "iam:PassedToService": "ec2.amazonaws.com"
          }
        }
      }
    ]
  }

• 如果您使用的是 AWS CloudFormation 模板，则可以在模板的 “资源” 部分中添加类似以下内容的内容。

  "Resources": {
    "OpsWorksServiceRole": {
        "Type": "AWS::IAM::Role",
        "Properties": {
          "AssumeRolePolicyDocument": {
              "Statement": [ {
                "Effect": "Allow",
                "Principal": {
                    "Service": [ "opsworks.amazonaws.com" ]
                },
                "Action": [ "sts:AssumeRole" ]
              } ]
          },
          "Path": "/",
          "Policies": [ {
              "PolicyName": "opsworks-service",
              "PolicyDocument": {
                ...
              } ]
          }
        },
     }
  }