AWS CloudFormation Beispiel für eine Komponente

Erstellen Sie eine AWS Identity and Access Management (IAM-) Rolle, die den Umfang der Ressourcen abgrenzt, die direkt definierte Komponenten, die in Ihrer Umgebung ausgeführt werden, bereitstellen können. AWS Proton übernimmt diese Rolle später, um direkt definierte Komponenten in der Umgebung bereitzustellen.

Verwenden Sie für dieses Beispiel die folgende Richtlinie:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:CancelUpdateStack",
        "cloudformation:CreateChangeSet",
        "cloudformation:DeleteChangeSet",
        "cloudformation:DescribeStacks",
        "cloudformation:ContinueUpdateRollback",
        "cloudformation:DetectStackResourceDrift",
        "cloudformation:DescribeStackResourceDrifts",
        "cloudformation:DescribeStackEvents",
        "cloudformation:CreateStack",
        "cloudformation:DeleteStack",
        "cloudformation:UpdateStack",
        "cloudformation:DescribeChangeSet",
        "cloudformation:ExecuteChangeSet",
        "cloudformation:ListChangeSets",
        "cloudformation:ListStackResources"
      ],
      "Resource": "arn:aws:cloudformation:*:123456789012:stack/AWSProton-*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucket",
        "s3:GetBucket",
        "iam:CreatePolicy",
        "iam:DeletePolicy",
        "iam:GetPolicy",
        "iam:ListPolicyVersions",
        "iam:DeletePolicyVersion"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": "cloudformation.amazonaws.com"
        }
      }
    }
  ]
}

Geben Sie die Rolle an, die Sie im vorherigen Schritt erstellt haben, wenn Sie die Umgebung erstellen oder aktualisieren. Geben Sie in der AWS Proton Konsole auf der Seite „Umgebung konfigurieren“ eine Komponentenrolle an. Wenn Sie die AWS Proton API oder verwenden AWS CLI, geben Sie die componentRoleArn der CreateEnvironmentoder UpdateEnvironmentAPI-Aktionen an.

Erstellen Sie eine Dienstvorlage, die sich auf eine direkt definierte Komponente bezieht, die an die Dienstinstanz angehängt ist.

Das Beispiel zeigt, wie eine robuste Dienstvorlage geschrieben wird, die nicht kaputt geht, wenn keine Komponente an die Dienstinstanz angehängt ist.

# service/instance_infrastructure/cloudformation.yaml

Resources: 
  TaskDefinition:
    Type: AWS::ECS::TaskDefinition
    Properties:
      TaskRoleArn: !Ref TaskRole
      ContainerDefinitions:
        - Name: '{{service_instance.name}}'
          # ...
          {% if service_instance.components.default.outputs | length > 0 %}
          Environment:
            {{ service_instance.components.default.outputs |
                proton_cfn_ecs_task_definition_formatted_env_vars }}
          {% endif %}

  # ...

  TaskRole:
    Type: AWS::IAM::Role
    Properties:
      # ...
      ManagedPolicyArns:
        - !Ref BaseTaskRoleManagedPolicy
        {{ service_instance.components.default.outputs
            | proton_cfn_iam_policy_arns }}

  # Basic permissions for the task
  BaseTaskRoleManagedPolicy:
    Type: AWS::IAM::ManagedPolicy
    Properties:
      # ...

Erstellen Sie eine neue Nebenversion der Dienstvorlage, in der direkt definierte Komponenten als unterstützt deklariert werden.

Veröffentlichen Sie die neue Nebenversion der Service-Vorlage. Weitere Informationen finden Sie unter Vorlagen registrieren und veröffentlichen.

Stellen Sie sicher, dass Sie Entwicklern, die diese Dienstvorlage verwenden, die Rolle proton:CreateComponent in der IAM-Rolle zuweisen.

Erstellen Sie einen Dienst, der die Version der Dienstvorlage verwendet, die der Administrator mit Komponentenunterstützung erstellt hat. Sie können auch eine Ihrer vorhandenen Dienstinstanzen aktualisieren, um die neueste Vorlagenversion zu verwenden.

Schreiben Sie eine IaC-Vorlagendatei für Komponenten, die einen Amazon S3 S3-Bucket und eine zugehörige Zugriffsrichtlinie bereitstellt und diese Ressourcen als Ausgaben bereitstellt.

# cloudformation.yaml

# A component that defines an S3 bucket and a policy for accessing the bucket.
Resources:
  S3Bucket:
    Type: 'AWS::S3::Bucket'
    Properties:
      BucketName: '{{environment.name}}-{{service.name}}-{{service_instance.name}}-{{component.name}}'
  S3BucketAccessPolicy:
    Type: AWS::IAM::ManagedPolicy
    Properties:
      PolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Action:
              - 's3:Get*'
              - 's3:List*'
              - 's3:PutObject'
            Resource: !GetAtt S3Bucket.Arn
Outputs:
  BucketName:
    Description: "Bucket to access"
    Value: !GetAtt S3Bucket.Arn
  BucketAccessPolicyArn:
    Value: !Ref S3BucketAccessPolicy

Wenn Sie die AWS Proton API oder verwenden AWS CLI, schreiben Sie eine Manifestdatei für die Komponente.

infrastructure:
  templates:
    - file: "cloudformation.yaml"
      rendering_engine: jinja
      template_language: cloudformation

Erstellen Sie eine direkt definierte Komponente. AWS Proton nimmt die Komponentenrolle an, die der Administrator für die Bereitstellung der Komponente definiert hat.

Wählen Sie in der AWS Proton Konsole auf der Seite Komponenten die Option Komponente erstellen aus. Geben Sie unter Komponenteneinstellungen einen Komponentennamen und optional eine Komponentenbeschreibung ein. Wählen Sie für Komponentenanhang die Option Komponente an eine Dienstinstanz anhängen aus. Wählen Sie Ihre Umgebung, Ihren Service und Ihre Dienstinstanz aus. Wählen Sie AWS CloudFormationals Komponentenquelle die Option und anschließend die Komponenten-IaC-Datei aus.

Wenn Sie die AWS Proton API oder verwenden AWS CLI, verwenden Sie die CreateComponentAPI-Aktion. Legen Sie eine Komponente fest name und sind optionaldescription. Stellen Sie environmentNameserviceName, und einserviceInstanceName. Legen Sie templateSource manifest die Pfade der von Ihnen erstellten Dateien fest.

Aktualisieren Sie Ihre Dienstinstanz, um sie erneut bereitzustellen. AWS Proton verwendet Ausgaben Ihrer Komponente in der gerenderten Service-Instance-Vorlage, damit Ihre Anwendung den Amazon S3 S3-Bucket verwenden kann, den die Komponente bereitgestellt hat.