允許 AWS OpsWorks 堆疊代表您採取行動

重要

該 AWS OpsWorks Stacks 服務於 2024 年 5 月 26 日終止使用壽命，並已針對新客戶和現有客戶停用。我們強烈建議客戶盡快將其工作負載移轉至其他解決方案。如果您對移轉有任何疑問，請透過 AWS Re: post 或透過進AWS 階 Support 與 AWS Support 團隊聯絡。

AWS OpsWorks 堆疊需要代表您與各種 AWS 服務互動。例如， AWS OpsWorks 堆棧與 Amazon EC2 進行交互以創建實例，並與 Amazon 進行交互 CloudWatch 以獲取監控統計信息。建立堆疊時，您可以指定 IAM 角色 (通常稱為服務角色)，以授與 AWS OpsWorks 堆疊適當的權限。

當您指定新堆疊的服務角色時，您可以執行下列其中一項作業：

• 指定您先前建立的標準服務角色。

  您通常可以在建立您第一個堆疊時建立一個標準服務角色，然後針對所有後續的堆疊使用該角色。

• 指定您使用 IAM 主控台或 API 建立的自訂服務角色。

  如果您想要授與 AWS OpsWorks Stack 比標準服務角色更有限的權限，此方法非常有用。

注意

若要建立第一個堆疊，您必須具有 IAM AdministratorAccess政策範本中定義的許可。這些許可會允許 AWS OpsWorks Stacks 建立新的 IAM 服務角色，允許您匯入使用者，如先前所述。針對所有後續堆疊，使用者可選取為第一個堆疊建立的服務角色。他們不需要完整的管理許可也能建立堆疊。

標準服務角色會授予下列許可：

• 執行所有 Amazon EC2 動作 (ec2:*)。

• 獲取 CloudWatch 統計信息（cloudwatch:GetMetricStatistics）。

• 使用 Elastic Load Balancing 將流量分配到伺服器 (elasticloadbalancing:*)。

• 使用 Amazon RDS 執行個體做為資料庫伺服器 (rds:*)。

• 使用 IAM 角色 (iam:PassRole) 在 AWS OpsWorks 堆疊和 Amazon EC2 執行個體之間提供安全通訊。

如果您建立自訂服務角色，則必須確保該角色授與 AWS OpsWorks Stacks 管理堆疊所需的所有權限。下列 JSON 範本是標準服務角色的政策聲明；自訂服務角色應該在其政策聲明中至少包含以下許可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:*",
                "iam:PassRole",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:DescribeAlarms",
                "ecs:*",
                "elasticloadbalancing:*",
                "rds:*"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        }
    ]
}

服務角色也具有信任關聯。 AWS OpsWorks 堆疊所建立的服務角色具有下列信任關係。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "StsAssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "opsworks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

服務角色必須具有此信任關係， AWS OpsWorks Stacks 才能代表您執行動作。若您使用預設服務角色，請不要修改信任關聯。如果您要建立自訂服務角色，請執行下列其中一項動作來指定信任關係：

• 如果您在 IAM 主控台中使用建立角色精靈，請在 [選擇使用案例] 中選擇 Ops works。此角色具有適當的信任關係，但不會隱含附加任何原則。若要授與 AWS OpsWorks Stacks 代表您採取行動的權限，請建立包含下列內容的客戶管理政策，並將其附加至新角色。

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cloudwatch:DescribeAlarms",
          "cloudwatch:GetMetricStatistics",
          "ec2:*",
          "ecs:*",
          "elasticloadbalancing:*",
          "iam:GetRolePolicy",
          "iam:ListInstanceProfiles",
          "iam:ListRoles",
          "iam:ListUsers",
          "rds:*"
        ],
        "Resource": [
          "*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "iam:PassRole"
        ],
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "iam:PassedToService": "ec2.amazonaws.com"
          }
        }
      }
    ]
  }

• 如果您使用的是 AWS CloudFormation 範本，您可以將類似下列內容新增至範本的資源區段。

  "Resources": {
    "OpsWorksServiceRole": {
        "Type": "AWS::IAM::Role",
        "Properties": {
          "AssumeRolePolicyDocument": {
              "Statement": [ {
                "Effect": "Allow",
                "Principal": {
                    "Service": [ "opsworks.amazonaws.com" ]
                },
                "Action": [ "sts:AssumeRole" ]
              } ]
          },
          "Path": "/",
          "Policies": [ {
              "PolicyName": "opsworks-service",
              "PolicyDocument": {
                ...
              } ]
          }
        },
     }
  }