Ruolo IAM delle istanze di container Amazon ECS

Per creare il ruolo di servizio per Elastic Container Service (console IAM)

1. Accedi a AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel pannello di navigazione della console IAM, scegliere Ruoli e quindi Crea ruolo.

3. Per Trusted entity type (Tipo di entità attendibile), scegli Servizio AWS.

4. Per Servizio o caso d'uso, seleziona Elastic Container Service e poi il ruolo EC2 per il caso d'uso Elastic Container Service.

5. Scegli Next (Successivo).

6. Nella sezione Policy delle autorizzazioni, verifica che sia selezionata la policy AmazonEC2ContainerServiceforEC2Role.

   Importante

   La policy gestita AmazonEC2ContainerServiceforEC2Role deve essere collegata al ruolo IAM dell'istanza di container, altrimenti verrà generato un errore quando si utilizza la AWS Management Console per creare i cluster.

7. Scegli Next (Successivo).

8. Per Nome ruolo, inserisci ecsInstanceRole

9. Verificare il ruolo e quindi scegliere Create role (Crea ruolo).

1. Crea un file denominato instance-role-trust-policy.json con i seguenti contenuti.

   JSON

   JSON

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": { "Service": "ec2.amazonaws.com"},
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

2. Usa il seguente comando per creare il ruolo IAM dell'istanza utilizzando il documento della policy di attendibilità.

   aws iam create-role \
       --role-name ecsInstanceRole \
       --assume-role-policy-document file://instance-role-trust-policy.json

3. Creare un profilo dell'istanza denominato ecsInstanceRole-profile utilizzando il comando create-instance-profile.

   aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

   Example response

   {
       "InstanceProfile": {
           "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE",
           "Roles": [],
           "CreateDate": "2022-04-12T23:53:34.093Z",
           "InstanceProfileName": "ecsInstanceRole-profile",
           "Path": "/",
           "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile"
       }
   }

4. Aggiungi il ruolo ecsInstanceRole al profilo dell'istanza ecsInstanceRole-profile.

   aws iam add-role-to-instance-profile \
       --instance-profile-name ecsInstanceRole-profile \
       --role-name ecsInstanceRole

5. Collega la policy gestita da AmazonEC2ContainerServiceRoleForEC2Role al ruolo usando il comando seguente.

   aws iam attach-role-policy \
       --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \
       --role-name ecsInstanceRole

Come utilizzare l'editor di policy JSON per creare una policy

1. Accedi a AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione a sinistra, seleziona Policies (Policy).

   Se è la prima volta che selezioni Policy, verrà visualizzata la pagina Benvenuto nelle policy gestite. Seleziona Inizia.

3. Nella parte superiore della pagina, scegli Crea policy.

4. Nella sezione Editor di policy, scegli l'opzione JSON.

5. Inserisci il documento di policy JSON seguente:

   {
       "Version": "2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }
        
         

6. Scegli Next (Successivo).

   Nota

   È possibile alternare le opzioni dell'editor Visivo e JSON in qualsiasi momento. Se tuttavia si apportano modifiche o si seleziona Successivo nell'editor Visivo, IAM potrebbe ristrutturare la policy in modo da ottimizzarla per l'editor visivo. Per ulteriori informazioni, consulta Modifica della struttura delle policy nella Guida per l'utente di IAM.

7. Nella pagina Rivedi e crea, inserisci un valore in Nome policy e Descrizione (facoltativo) per la policy in fase di creazione. Rivedi Autorizzazioni definite in questa policy per visualizzare le autorizzazioni concesse dalla policy.

8. Seleziona Crea policy per salvare la nuova policy.

1. Crea un file denominato instance-cw-logs.json, con il seguente contenuto:

   JSON

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }
   

2. Usa il seguente comando per creare la policy IAM utilizzando il file del documento della policy JSON.

   aws iam create-policy \
         --policy-name cwlogspolicy \
         --policy-document file://instance-cw-logs.json

3. Recupera l'ARN della policy IAM che hai creato usando il seguente comando. Sostituisci cwlogspolicy con il nome della policy che hai creato.

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cwlogspolicy`].Arn'

4. Usa il seguente comando per collegare la policy al ruolo IAM dell'istanza di container utilizzando la policy ARN.

   aws iam attach-role-policy \
         --role-name ecsInstanceRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/cwlogspolicy