Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Praktik terbaik untuk peran IAM di Amazon ECS

Peran yang dibutuhkan Amazon ECS bergantung pada jenis peluncuran definisi tugas dan fitur yang Anda gunakan. Sebaiknya buat peran terpisah dalam tabel alih-alih berbagi peran.

Peran tugas

Kami menyarankan Anda menetapkan peran tugas. Perannya dapat dibedakan dari peran instance Amazon EC2 yang dijalankannya. Menetapkan setiap tugas peran sejalan dengan prinsip akses yang paling tidak istimewa dan memungkinkan kontrol terperinci yang lebih besar atas tindakan dan sumber daya.

Saat Anda menambahkan peran tugas ke definisi tugas, agen kontainer Amazon ECS secara otomatis membuat token dengan ID kredensi unik (misalnya,12345678-90ab-cdef-1234-567890abcdef) untuk tugas tersebut. Token ini dan kredenSIAL peran kemudian ditambahkan ke cache internal agen. Agen mengisi variabel lingkungan AWS_CONTAINER_CREDENTIALS_RELATIVE_URI dalam wadah dengan URI ID kredensi (misalnya,/v2/credentials/12345678-90ab-cdef-1234-567890abcdef).

Anda dapat mengambil kredentif peran sementara secara manual dari dalam wadah dengan menambahkan variabel lingkungan ke alamat IP agen kontainer Amazon ECS dan menjalankan curl perintah pada string yang dihasilkan.

curl 169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI

Output yang diharapkan adalah sebagai berikut:

{
	"RoleArn": "arn:aws:iam::123456789012:role/SSMTaskRole-SSMFargateTaskIAMRole-DASWWSF2WGD6",
	"AccessKeyId": "AKIAIOSFODNN7EXAMPLE",
	"SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
	"Token": "IQoJb3JpZ2luX2VjEEM/Example==",
	"Expiration": "2021-01-16T00:51:53Z"
}

Versi SDK yang lebih baru secara otomatis mengambil kredenSIAL ini dari variabel AWS_CONTAINER_CREDENTIALS_RELATIVE_URI lingkungan saat melakukan panggilan AWS API. AWS Untuk informasi tentang cara memperbarui kredenSIAL, lihat Memperbarui AWS kreden SIAL di RePost.

Outputnya mencakup pasangan kunci akses yang terdiri dari ID kunci akses rahasia dan kunci rahasia yang digunakan aplikasi Anda untuk mengakses AWS sumber daya. Ini juga termasuk token yang digunakan AWS untuk memverifikasi bahwa kredensialnya valid. Secara default, kredenSIAL yang ditetapkan untuk tugas menggunakan peran tugas berlaku selama enam jam. Setelah itu, mereka secara otomatis diputar oleh agen kontainer Amazon ECS.

Peran pelaksanaan tugas

Peran eksekusi tugas digunakan untuk memberikan izin agen kontainer Amazon ECS untuk memanggil tindakan AWS API tertentu atas nama Anda. Misalnya, saat Anda menggunakan AWS Fargate, Fargate memerlukan peran IAM yang memungkinkannya untuk menarik gambar dari Amazon ECR dan menulis log ke CloudWatch Log. Peran IAM juga diperlukan ketika tugas mereferensikan rahasia yang disimpan AWS Secrets Manager, seperti rahasia tarik gambar.

role instans kontainer

Kebijakan AmazonEC2ContainerServiceforEC2Role IAM terkelola mencakup izin berikut. Dengan mengikuti saran keamanan standar untuk memberikan hak istimewa paling rendah, kebijakan terkelola AmazonEC2ContainerServiceforEC2Role dapat digunakan sebagai panduan. Jika salah satu izin yang diberikan dalam kebijakan terkelola tidak diperlukan untuk kasus penggunaan Anda, buat kebijakan kustom dan hanya tambahkan izin yang Anda perlukan.

Service-linked peran

Anda dapat menggunakan peran terkait layanan untuk Amazon ECS untuk memberikan izin layanan Amazon ECS untuk memanggil API layanan lain atas nama Anda. Amazon ECS memerlukan izin untuk membuat dan menghapus antarmuka jaringan, mendaftarkan, dan membatalkan pendaftaran target dengan kelompok target. Ini juga membutuhkan izin yang diperlukan untuk membuat dan menghapus kebijakan penskalaan. Izin ini diberikan melalui peran terkait layanan. Peran ini dibuat atas nama Anda saat pertama kali Anda menggunakan layanan.

Rekomendasi peran

Kami menyarankan Anda melakukan hal berikut saat menyiapkan peran dan kebijakan IAM tugas Anda.

Blokir akses ke metadata Amazon EC2

Saat menjalankan tugas di instans Amazon EC2, kami sangat menyarankan Anda memblokir akses kontainer ke Amazon EC2 Instance Metadata Service (IMDS) untuk mencegah kontainer mengakses data tingkat instans sensitif, termasuk kredentif profil instans instans. Jika aplikasi Anda harus memanggil tindakan AWS API, gunakan peran IAM untuk tugas sebagai gantinya.

Untuk mencegah tugas yang berjalan dalam mode jembatan mengakses metadata Amazon EC2, jalankan perintah berikut atau perbarui data pengguna instans. Untuk instruksi selengkapnya tentang memperbarui data pengguna suatu instance, lihat Artikel AWS Dukungan ini. Untuk informasi selengkapnya tentang mode jembatan definisi tugas, lihat mode jaringan definisi tugas.

sudo yum install -y iptables-services; sudo iptables --insert FORWARD 1 --in-interface docker+ --destination 169.254.169.254/32 --jump DROP

Agar perubahan ini bertahan setelah reboot, jalankan perintah berikut yang khusus untuk Amazon Machine Image (AMI) Anda:

Untuk tugas yang menggunakan mode awsvpc jaringan, atur variabel lingkungan ECS_AWSVPC_BLOCK_IMDS ke true dalam /etc/ecs/ecs.config file.

Anda harus mengatur ECS_ENABLE_TASK_IAM_ROLE_NETWORK_HOST variabel ke false dalam ecs-agent config file untuk mencegah wadah yang berjalan di dalam host jaringan mengakses metadata Amazon EC2.

Gunakan mode jaringan awsvpc

Gunakan mode jaringan awsvpc jaringan untuk membatasi aliran lalu lintas antara tugas yang berbeda atau antara tugas Anda dan layanan lain yang berjalan dalam Amazon VPC Anda. Ini menambahkan lapisan keamanan tambahan. Mode awsvpc jaringan menyediakan isolasi jaringan tingkat tugas untuk tugas yang berjalan di Amazon EC2. Ini adalah mode default aktif AWS Fargate. ini adalah satu-satunya mode jaringan yang dapat Anda gunakan untuk menetapkan grup keamanan ke tugas.

Gunakan informasi yang terakhir diakses untuk menyempurnakan peran

Sebaiknya hapus tindakan apa pun yang tidak pernah digunakan atau belum digunakan selama beberapa waktu. Ini mencegah akses yang tidak diinginkan terjadi. Untuk melakukan ini, tinjau informasi yang terakhir diakses yang disediakan oleh IAM, lalu hapus tindakan yang tidak pernah digunakan atau belum digunakan baru-baru ini. Anda dapat melakukan ini dengan mengikuti langkah-langkah berikut.

Jalankan perintah berikut untuk menghasilkan laporan yang menunjukkan informasi akses terakhir untuk kebijakan yang direferensikan:

aws iam generate-service-last-accessed-details --arn arn:aws:iam::123456789012:policy/ExamplePolicy1

gunakan JobId yang ada di output untuk menjalankan perintah berikut. Setelah Anda melakukan ini, Anda dapat melihat hasil laporan.

aws iam get-service-last-accessed-details --job-id 98a765b4-3cde-2101-2345-example678f9

Untuk informasi selengkapnya, lihat Memperbaiki izin dalam AWS menggunakan informasi yang terakhir diakses.

Memantau AWS CloudTrail untuk aktivitas yang mencurigakan

Anda dapat memantau aktivitas AWS CloudTrail yang mencurigakan. Sebagian besar panggilan AWS API dicatat AWS CloudTrail sebagai peristiwa. Mereka dianalisis oleh AWS CloudTrail Insights, dan Anda akan diberitahu tentang perilaku mencurigakan apa pun yang terkait dengan panggilan write API. Ini mungkin termasuk lonjakan volume panggilan. Peringatan ini mencakup informasi seperti waktu aktivitas yang tidak biasa terjadi dan ARN identitas teratas yang berkontribusi pada API.

Anda dapat mengidentifikasi tindakan yang dilakukan oleh tugas dengan peran IAM AWS CloudTrail dengan melihat userIdentity properti acara. Dalam contoh berikut, arn termasuk nama peran yang diasumsikans3-write-go-bucket-role,, diikuti dengan nama tugas,7e9894e088ad416eb5cab92afExample.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROA36C6WWEJ2YEXAMPLE:7e9894e088ad416eb5cab92afExample",
    "arn": "arn:aws:sts::123456789012:assumed-role/s3-write-go-bucket-role/7e9894e088ad416eb5cab92afExample",
    ...
}