翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Beanstalk クラスターのアクセス許可

Beanstalk クラスター環境は、Beanstalk Standard の Amazon Elastic Compute Cloud (Amazon EC2) インスタンスプロファイルを使用しません。Amazon EKS がクラスターとノードに必要とする IAM ロールと、Elastic Beanstalk が環境のメトリクス、ログ、トレースを発行するために使用するロールを提供します。オプションで、実行中のアプリケーションのアプリケーションロールを指定できます。Elastic Beanstalk は、環境の独自のオペレーションにサービスにリンクされたロールを使用します。

指定したロール

Beanstalk クラスター環境は、クラスターロール、ノードロール、およびオブザーバビリティロールを使用します。Elastic Beanstalk コンソールで環境を作成し、デフォルトのサービスアクセス設定を受け入れると、アカウント内にまだ存在しない場合、コンソールは に名前を付けて 各ロールの名前、信頼されたサービス、アクセス許可3 つすべてを作成します。

これらのロールを Elastic Beanstalk コンソールの外部で作成する場合は、 で指定されているとおりに作成することを強くお勧めします各ロールの名前、信頼されたサービス、アクセス許可。次に、環境を作成するときに、設定オプションで各ロール ARN を渡します。実例については、「」を参照してくださいBeanstalk クラスターの開始方法。

Elastic Beanstalk のソースを指定してコンテナイメージに組み込む場合は、イメージビルドロールも指定します。 AWS CodeBuild はそれを引き受けてアカウントでビルドを実行します。このロールは、実行中の環境ではなく、アプリケーションバージョンビルドに属します。「Beanstalk クラスター環境のコンテナイメージの構築」を参照してください。

オプションのアプリケーションロールを指定することもできます。このロールは、実行中のアプリケーションが AWS サービスを呼び出すために使用されます。「アプリケーションのアクセス許可」を参照してください。

各ロールは異なるサービスを信頼し、独自のアクセス許可を持ちます。

サブネットセット単独でクラスターを選択するため、異なるインフラストラクチャロールを持つ別のクラスターが必要な場合は、別のサブネットセットを使用します。既存の Beanstalk クラスター環境のサブネット、クラスター、ノード、オブザーバビリティロールを変更することはできません。「環境のグループ化」を参照してください。オプションのアプリケーションロールは環境に固有であり、環境によって異なる場合があります。「」を参照してくださいアプリケーションロールを設定する。

環境を作成するアクセス許可

これらのロールを Elastic Beanstalk に渡すため、環境を作成するプリンシパルには、ロールを渡すアクセス許可が必要です。Elastic Beanstalk はこれをプロビジョニングする前に検証するため、そのプリンシパルに以下を付与します。

次のポリシーは、これらすべてを許可します。アカウント ID を独自の に置き換え、アプリケーションロールの名前を使用し、渡さないロールを削除します。表示されるロール名は、コンソールが作成および選択する前の表のロール名です。

名前でロールを選択するコンソールとは異なり、ポリシーは完全な ARN でロールと一致するため、各Resourceエントリにはロールの IAM パスを含める必要があります。コンソールが作成するロールは/service-role/、次に示すように にあります。別の方法でロールを作成した場合、パスがない可能性があります。この場合、その ARN は ですarn:aws:iam::111122223333:role/role-name。ロールの ARN を読み取るには、 を実行しますaws iam get-role --role-name role-name --query Role.Arn --output text。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "InspectTheRoles",
      "Effect": "Allow",
      "Action": "iam:GetRole",
      "Resource": [
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-cluster-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-node-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-observability-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-image-build-role",
        "arn:aws:iam::111122223333:role/my-application-role"
      ]
    },
    {
      "Sid": "PassTheRolesToBeanstalk",
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": [
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-cluster-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-node-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-observability-role",
        "arn:aws:iam::111122223333:role/service-role/aws-elasticbeanstalk-eks-image-build-role",
        "arn:aws:iam::111122223333:role/my-application-role"
      ],
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": [
            "eks.amazonaws.com",
            "ec2.amazonaws.com",
            "pods.eks.amazonaws.com",
            "codebuild.amazonaws.com",
            "elasticbeanstalk.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "CreateServiceLinkedRolesOnFirstEnvironment",
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "arn:aws:iam::111122223333:role/aws-service-role/*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": [
            "elasticbeanstalk.amazonaws.com",
            "eks.amazonaws.com"
          ]
        }
      }
    }
  ]
}

iam:GetRole iam:PassedToService条件キーはPassRoleリクエストにのみ存在するため、 は独自のステートメントにあります。同じステートメントiam:GetRoleで に適用すると、そのアクセス許可はまったく付与されません。

このポリシーは、ロールの受け渡しのみを対象としています。アプリケーションと環境の作成に必要な Elastic Beanstalk アクションは付与されません。

これらのアクセス許可がないと、 は実行できなかったアクションAccessDeniedの命名エラーでCreateEnvironment失敗します。詳細については、「 AWS サービスにロールを渡すためのプリンシパルアクセス許可を付与する」および「」を参照してくださいCreateEnvironment。

Elastic Beanstalk が管理するロール

Elastic Beanstalk は、サービスAWSServiceRoleForElasticBeanstalkにリンクされたロールを介して Beanstalk クラスター環境を操作します。このロールは、アカウント内に作成されます。このロールを作成、設定、または渡しません。Amazon EKS は同様に、独自のサービスにリンクされたロール を使用しますAWSServiceRoleForAmazonEKS。Elastic Beanstalk がサービスにリンクされたロールを使用する方法については、「」を参照してくださいElastic Beanstalk でのサービスにリンクされたロールの使用。

環境が使用するロールを確認する

環境が Ready状態になったら、解決された設定を読み取ります。

$ aws elasticbeanstalk describe-configuration-settings \
    --application-name my-app \
    --environment-name my-cluster-env \
    --query "ConfigurationSettings[0].OptionSettings[?OptionName=='cluster-role' || OptionName=='node-role' || OptionName=='observability-role'].[Namespace,OptionName,Value]" \
    --output table

クラスター、ノード、オブザーバビリティロールのエントリに、作成時に指定された ARNs が含まれていることを確認します。環境がアプリケーションロールを使用している場合は、認証情報アイデンティティチェックインを実行しアプリケーションロールを設定する、返された ARN が選択したロールを識別していることを確認します。ソースベースのアプリケーションバージョンの場合、バージョンが を報告するのを待ちますPROCESSED。この状態は、 AWS CodeBuild がビルドロールを使用してイメージビルドを完了できることを確認します。「Beanstalk クラスター環境のコンテナイメージの構築」を参照してください。

アプリケーションのアクセス許可

実行中のアプリケーションが AWS サービスを呼び出す必要がある場合は、アプリケーションロールを使用します。環境を作成する前にロールを設定し、アプリケーションに必要なアクセス許可のみを付与します。アプリケーションは、Amazon EC2 インスタンスプロファイルではなく、Amazon EKS Pod Identity を介してロールを受け取ります。

aws:elasticbeanstalk:eks:environment 名前空間application-roleの設定でロールの ARN を渡すか、環境の作成時に Elastic Beanstalk コンソールでロールを選択します。

アプリケーションロールは、サードパーティーのオブザーバビリティバックエンドの認証情報を読み取るロールでもあります。オブザーバビリティバックエンドを に設定する場合はcustom、アプリケーションロール secretsmanager:GetSecretValue と を という名前の Secrets Manager シークレットsecretsmanager:DescribeSecretに付与しますcustom-credentials。「オブザーバビリティデータをサードパーティーのバックエンドに送信する」を参照してください。

アプリケーションロールを設定する

環境を作成する前に、アプリケーションロールを作成します。アプリケーションに必要なアクションとリソースのみをロールに付与します。pods.eks.amazonaws.com サービスプリンシパルの sts:AssumeRoleと を含む Amazon EKS Pod Identity sts:TagSessionの信頼ポリシーを設定します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "pods.eks.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ]
    }
  ]
}

アプリケーションが を受け取った場合はAccessDenied、環境の作成時に目的のロールを選択し、その信頼ポリシーが Amazon EKS Pod Identity を許可し、そのアイデンティティベースのポリシーがリクエストされたアクションとリソースを許可していることを確認します。信頼ポリシーまたはアクセス許可ポリシーを修正し、認証情報アイデンティティチェックとアプリケーションサービスの呼び出しの両方を繰り返します。間違ったロールを選択した場合は、間違ったロールにアプリケーションアクセス許可を追加する代わりに、目的のロールで置き換え環境を作成します。環境が異なるアクセスを必要とする場合は、個別のアプリケーションロールを使用します。クラスターまたはノードロールにアプリケーションアクセス許可を付与しないでください。

ロールの失敗を診断する

環境の Elastic Beanstalk イベントから始めます。失敗したリクエストの直前に記録されたタイムスタンプoperation_startに設定します。

$ operation_start='timestamp-recorded-before-the-request'
$ aws elasticbeanstalk describe-events \
    --environment-name my-cluster-env \
    --severity ERROR \
    --start-time "$operation_start" \
    --max-items 20