Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Permisos para Beanstalk Cluster

Un entorno de Beanstalk Cluster no utiliza el perfil de instancia de Amazon Elastic Compute Cloud (Amazon EC2) de Beanstalk Standard. Usted proporciona las funciones de IAM que Amazon EKS requiere para su clúster y sus nodos, y la función que Elastic Beanstalk utiliza para publicar las métricas, los registros y los seguimientos del entorno. Si lo desea, puede proporcionar un rol de aplicación para la aplicación en ejecución. Elastic Beanstalk usa un rol vinculado a un servicio para su propio funcionamiento del entorno.

Funciones que usted proporciona

Un entorno de Beanstalk Cluster utiliza un rol de clúster, un rol de nodo y un rol de observabilidad. Cuando creas un entorno en la consola de Elastic Beanstalk y aceptas la configuración predeterminada de acceso a los servicios, la consola crea los tres automáticamente, con los nombres escritosNombre, servicio de confianza y permisos para cada rol, cuando aún no existen en tu cuenta:

Si crea estos roles fuera de la consola de Elastic Beanstalk, le recomendamos encarecidamente que los cree exactamente como se especifica en. Nombre, servicio de confianza y permisos para cada rol A continuación, cuando cree un entorno, transfiera el ARN de cada rol a su opción de configuración. Para ver un ejemplo práctico, consultePrimeros pasos con Beanstalk Cluster.

Si proporciona una fuente para que Elastic Beanstalk la incorpore en una imagen de contenedor, también proporciona una función de creación de imágenes. AWS CodeBuild lo asume para ejecutar la compilación en tu cuenta. Esta función pertenece a la versión de compilación de la aplicación y no al entorno en ejecución. Consulte Creación de imágenes de contenedores para entornos de Beanstalk Cluster.

También puede proporcionar un rol de aplicación opcional, que la aplicación en ejecución utiliza para llamar AWS a los servicios. Consulte Permisos de aplicación.

Cada rol confía en un servicio diferente y tiene sus propios permisos:

El conjunto de subredes por sí solo selecciona el clúster, por lo que debe usar un conjunto de subredes diferente cuando necesite un clúster independiente con diferentes funciones de infraestructura. No puede cambiar las subredes ni las funciones de clúster, nodo y observabilidad de un entorno de Beanstalk Cluster existente. Consulte Agrupación de entornos. El rol de aplicación opcional es específico de un entorno y puede diferir de un entorno a otro; consulte. Configura un rol de aplicación

Permisos para crear el entorno

Dado que estas funciones se transfieren a Elastic Beanstalk, el director que crea el entorno necesita permiso para transferirlas. Elastic Beanstalk lo verifica antes de aprovisionar nada, por lo que debe conceder lo siguiente a ese director:

La siguiente política garantiza todo esto. Sustituye el identificador de la cuenta por el tuyo, usa el nombre del rol de la aplicación y elimina cualquier rol que no hayas aprobado. Los nombres de los roles que se muestran son los de la tabla anterior, que la consola crea y selecciona.

A diferencia de la consola, que selecciona un rol por su nombre, una política relaciona un rol por su ARN completo, por lo que cada Resource entrada debe incluir la ruta de IAM del rol. Los roles que crea la consola son /service-role/ los siguientes: Si creaste un rol de otra forma, es posible que no tenga ninguna ruta, en cuyo caso su ARN esarn:aws:iam::111122223333:role/role-name. Para leer el ARN de un rol, ejecuta. aws iam get-role --role-name role-name --query Role.Arn --output text

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "InspectTheRoles",
      "Effect": "Allow",
      "Action": "iam:GetRole",
      "Resource": [
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-cluster-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-node-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-observability-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-image-build-role",
        "arn:aws:iam::111122223333:role/my-application-role"
      ]
    },
    {
      "Sid": "PassTheRolesToBeanstalk",
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": [
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-cluster-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-node-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-observability-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-image-build-role",
        "arn:aws:iam::111122223333:role/my-application-role"
      ],
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": [
            "eks.amazonaws.com",
            "ec2.amazonaws.com",
            "pods.eks.amazonaws.com",
            "codebuild.amazonaws.com",
            "elasticbeanstalk.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "CreateServiceLinkedRolesOnFirstEnvironment",
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "arn:aws:iam::111122223333:role/aws-service-role/*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": [
            "elasticbeanstalk.amazonaws.com",
            "eks.amazonaws.com"
          ]
        }
      }
    }
  ]
}

iam:GetRoleestá en su propia sentencia porque la clave de iam:PassedToService condición solo existe en una PassRole solicitud. Aplicarlo iam:GetRole en la misma declaración impediría en absoluto que se concediera ese permiso.

Esta política cubre únicamente la transferencia de funciones. No otorga las acciones de Elastic Beanstalk que requiere la creación de una aplicación y un entorno.

Sin estos permisos, CreateEnvironment produce un AccessDenied error al asignar un nombre a la acción que no pudo realizar. Para obtener más información, consulte Otorgar un permiso principal para transferir un rol a un AWS servicio y CreateEnvironment.

Funciones que administra Elastic Beanstalk

Elastic Beanstalk opera un entorno de Beanstalk Cluster a través del rol vinculado al AWSServiceRoleForElasticBeanstalk servicio, que crea en su cuenta. Este rol no se crea, se configura ni se transfiere. Amazon EKS también utiliza su propia función vinculada a un servicio. AWSServiceRoleForAmazonEKS Para saber cómo Elastic Beanstalk usa los roles vinculados a servicios, consulte. Uso de roles vinculados a servicios para Elastic Beanstalk

Confirme las funciones que usa el entorno

Cuando el entorno alcance el Ready estado, lea su configuración resuelta:

$ aws elasticbeanstalk describe-configuration-settings \
    --application-name my-app \
    --environment-name my-cluster-env \
    --query "ConfigurationSettings[0].OptionSettings[?OptionName=='cluster-role' || OptionName=='node-role' || OptionName=='observability-role'].[Namespace,OptionName,Value]" \
    --output table

Confirme que las entradas de clúster, nodo y rol de observabilidad contengan los ARN proporcionados durante la creación. Si el entorno usa un rol de aplicación, ejecute la verificación de credenciales e identidad Configura un rol de aplicación y confirme que el ARN devuelto identifica el rol seleccionado. En el caso de una versión de aplicación basada en el código fuente, espere a que aparezca la versiónPROCESSED; ese estado confirma que AWS CodeBuild podría usar el rol de compilación y completar la creación de la imagen. Consulte Creación de imágenes de contenedores para entornos de Beanstalk Cluster.

Permisos de aplicación

Utilice un rol de aplicación cuando la aplicación en ejecución deba llamar a AWS los servicios. Configure el rol antes de crear el entorno y conceda solo los permisos que requiere la aplicación. La aplicación recibe el rol a través de Amazon EKS Pod Identity y no a través de un perfil de instancia de Amazon EC2.

Pase el ARN del rol a la application-role configuración del espacio de aws:elasticbeanstalk:eks:environment nombres o seleccione el rol en la consola de Elastic Beanstalk al crear el entorno.

El rol de la aplicación también es el rol que lee las credenciales de un backend de observabilidad externo. Si configuras cualquier backend de observabilidad encustom, otorga la función a la aplicación secretsmanager:GetSecretValue y secretsmanager:DescribeSecret al secreto de Secrets Manager nombrado por. custom-credentials Consulte Enviar datos de observabilidad a un backend de terceros.

Configura un rol de aplicación

Cree el rol de la aplicación antes de crear el entorno. Otorgue al rol solo las acciones y los recursos que requiere la aplicación. Configure su política de confianza para Amazon EKS Pod Identity, incluida sts:AssumeRole y sts:TagSession para el principal del pods.eks.amazonaws.com servicio:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "pods.eks.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ]
    }
  ]
}

Si la aplicación lo recibeAccessDenied, comprueba que has seleccionado el rol deseado durante la creación del entorno, que su política de confianza permite la identidad de los pods de Amazon EKS y que su política basada en la identidad permite la acción y el recurso solicitados. Corrija la política de confianza o de permisos y repita la comprobación de identidad y credenciales y la llamada al servicio de la solicitud. Si se seleccionó el rol incorrecto, cree un entorno de reemplazo con el rol deseado en lugar de agregar permisos de aplicación al rol incorrecto. Utilice funciones de aplicación independientes cuando los entornos requieran un acceso diferente. No conceda permisos de aplicación al rol de clúster o nodo.

Diagnostique errores de rol

Comience con los eventos de Elastic Beanstalk para el entorno. operation_startEstablezca la marca de tiempo registrada inmediatamente antes de la solicitud fallida:

$ operation_start='timestamp-recorded-before-the-request'
$ aws elasticbeanstalk describe-events \
    --environment-name my-cluster-env \
    --severity ERROR \
    --start-time "$operation_start" \
    --max-items 20