Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Autorisations requises pour la console Amazon ECS
Conformément à la bonne pratique pour accorder le moindre privilège, vous pouvez utiliser la stratégie gérée par `AmazonECS_FullAccess` comme modèle pour créer votre propre stratégie personnalisée. De cette façon, vous pouvez supprimer ou ajouter des autorisations pour la stratégie gérée en fonction de vos besoins spécifiques. Pour plus d'informations, consultez [AmazonECS\_ FullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonECS_FullAccess.html) dans le manuel *AWS Managed* Policy Reference.
## Autorisations pour créer des rôles IAM
Les actions suivantes nécessitent des autorisations supplémentaires pour terminer l'opération :
+ Enregistrement d'une instance externe : pour plus d'informations, veuillez consulter [Rôle IAM Amazon ECS Anywhere](iam-role-ecsanywhere.md).
+ Enregistrement d'une définition de tâche : pour plus d'informations, veuillez consulter [Rôle IAM d'exécution de tâche Amazon ECS](task_execution_IAM_role.md).
+ Création d'une EventBridge règle à utiliser pour planifier des tâches - pour plus d'informations, voir [Rôle EventBridge IAM d'Amazon ECS](CWE_IAM_role.md)
Vous pouvez ajouter ces autorisations en créant un rôle dans IAM avant de les utiliser dans la console Amazon ECS. Si vous ne créez pas les rôles, la console Amazon ECS les crée en votre nom.
## Autorisations requises pour enregistrer une instance externe dans un cluster
Vous avez besoin d'autorisations supplémentaires lorsque vous enregistrez une instance externe dans un cluster et que vous souhaitez créer un nouveau rôle d'instance externe (`ecsExternalInstanceRole`).
Les autorisations supplémentaires suivantes sont requises :
+ `iam` : permet aux principaux de créer et répertorier les rôles IAM et les politiques qui leur sont attachées.
+ iam : AttachRolePolicy
+ iam : CreateRole
+ Je suis : CreateInstanceProfile
+ iam : AddRoleToInstanceProfile
+ iam : ListInstanceProfilesForRole
+ iam : GetRole
+ `ssm` : permet aux principaux d'enregistrer l'instance externe auprès de Systems Manager.
**Note**
Pour choisir un `ecsExternalInstanceRole` existant, vous devez disposer des autorisations `iam:GetRole` et `iam:PassRole`.
La politique suivante contient les autorisations requises et limite les actions au rôle `ecsExternalInstanceRole`.
------
#### [ JSON ]
****
```
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:CreateRole",
"iam:CreateInstanceProfile",
"iam:AddRoleToInstanceProfile",
"iam:ListInstanceProfilesForRole",
"iam:GetRole"
],
"Resource": "arn:aws:iam::*:role/ecsExternalInstanceRole"
},
{
"Effect": "Allow",
"Action": ["iam:PassRole","ssm:CreateActivation"],
"Resource": "arn:aws:iam::*:role/ecsExternalInstanceRole"
}
]
}
```
------
## Autorisations requises pour enregistrer une définition de tâche
Vous avez besoin d'autorisations supplémentaires lorsque vous enregistrez une définition de tâche et que vous souhaitez créer un nouveau rôle d'exécution de tâche (`ecsTaskExecutionRole`).
Les autorisations supplémentaires suivantes sont requises :
+ `iam` : permet aux principaux de créer et répertorier les rôles IAM et les politiques qui leur sont attachées.
+ iam : AttachRolePolicy
+ iam : CreateRole
+ iam : GetRole
**Note**
Pour choisir un `ecsTaskExecutionRole` existant, vous devez disposer de l'autorisation `iam:GetRole`.
La politique suivante contient les autorisations requises et limite les actions au rôle `ecsTaskExecutionRole`.
------
#### [ JSON ]
****
```
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:CreateRole",
"iam:GetRole"
],
"Resource": "arn:aws:iam::*:role/ecsTaskExecutionRole"
}
]
}
```
------
## Autorisations requises pour utiliser Amazon Q Developer afin de fournir des recommandations dans la console
Pour qu’Amazon Q Developer puisse formuler des recommandations dans la console ECS, vous devez activer les autorisations IAM adéquates pour votre rôle ou utilisateur IAM. Vous devez ajouter l’autorisation `codewhisperer:GenerateRecommendations`.
------
#### [ JSON ]
****
```
{
"Statement": [
{
"Sid": "AmazonQDeveloperPermissions",
"Effect": "Allow",
"Action": ["codewhisperer:GenerateRecommendations"],
"Resource": "*"
}
]
}
```
------
Pour utiliser le chat en ligne dans la console Amazon ECS, vous devez activer les autorisations IAM adéquates pour votre rôle ou utilisateur IAM. Vous devez ajouter l’autorisation `q:SendMessage` :
------
#### [ JSON ]
****
```
{
"Statement": [
{
"Sid": "AmazonQDeveloperInlineChatPermissions",
"Effect": "Allow",
"Action": ["q:SendMessage"],
"Resource": "*"
}
]
}
```
------
## Autorisations requises pour créer une EventBridge règle pour les tâches planifiées
Vous avez besoin d'autorisations supplémentaires lorsque vous planifiez une tâche et que vous souhaitez créer un nouveau rôle CloudWatch Events (`ecsEventsRole`).
Les autorisations supplémentaires suivantes sont requises :
+ `iam` : permet aux principaux de créer et de répertorier les rôles IAM et les politiques qui leur sont associées, et d'autoriser Amazon ECS à transmettre le rôle à d'autres services pour qu'ils l'endossent.
**Note**
Pour choisir un `ecsEventsRole` existant, vous devez disposer des autorisations `iam:GetRole` et `iam:PassRole`.
La politique suivante contient les autorisations requises et limite les actions au rôle `ecsEventsRole`.
------
#### [ JSON ]
****
```
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:CreateRole",
"iam:GetRole",
"iam:PassRole"
],
"Resource": "arn:aws:iam::*:role/ecsEventsRole"
}
]
}
```
------
## Autorisations nécessaires pour l’affichage des déploiements de service
Lorsque vous suivez la pratique exemplaire consistant à octroyer le moindre privilège, vous devez ajouter des autorisations supplémentaires afin de visualiser les déploiements de service dans la console.
Vous devez avoir accès aux actions suivantes :
+ ListServiceDeployments
+ DescribeServiceDeployments
+ DescribeServiceRevisions
Vous devez avoir accès aux ressources suivantes :
+ Service
+ Déploiements de service
+ Révision de service
L’exemple de politique suivant contient les autorisations requises et limite les actions à un service spécifié.
Remplacez `account`, `cluster-name` et `service-name` par vos propres valeurs.
------
#### [ JSON ]
****
```
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"ecs:ListServiceDeployments",
"ecs:DescribeServiceDeployments",
"ecs:DescribeServiceRevisions"
],
"Resource": [
"arn:aws:ecs:us-east-1:123456789012:service/cluster-name/service-name",
"arn:aws:ecs:us-east-1:123456789012:service-deployment/cluster-name/service-name/*",
"arn:aws:ecs:us-east-1:123456789012:service-revision/cluster-name/service-name/*"
]
}
]
}
```
------
## Autorisations requises pour afficher les événements du cycle de vie Amazon ECS dans Container Insights
Les autorisations suivantes sont requises pour afficher les événements du cycle de vie. Ajoutez les autorisations suivantes sous forme de politique en ligne au rôle. Pour plus d’informations, consultez la section [Ajout et suppression de politiques IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html).
+ événements : DescribeRule
+ événements : ListTargetsByRule
+ journaux : DescribeLogGroups
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"events:DescribeRule",
"events:ListTargetsByRule",
"logs:DescribeLogGroups"
],
"Resource": "*"
}
]
}
```
------
## Autorisations requises pour l’affichage des événements du cycle de vie Amazon ECS dans Container Insights
Les autorisations suivantes sont requises pour configurer les événements du cycle de vie :
+ événements : PutRule
+ événements : PutTargets
+ journaux : CreateLogGroup
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"events:PutRule",
"events:PutTargets",
"logs:CreateLogGroup"
],
"Resource": "*"
}
]
}
```
------