스팟 플릿 권한

스팟 플릿에 대한 정책 생성

1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 탐색 창에서 정책을 선택한 후 정책 생성을 선택합니다.

3. 정책 생성 페이지에서 JSON을 선택하고 텍스트를 다음과 같이 바꿉니다.

   JSON

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:RunInstances",
                   "ec2:CreateTags",
                   "ec2:RequestSpotFleet",
                   "ec2:ModifySpotFleetRequest",
                   "ec2:CancelSpotFleetRequests",
                   "ec2:DescribeSpotFleetRequests",
                   "ec2:DescribeSpotFleetInstances",
                   "ec2:DescribeSpotFleetRequestHistory"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": "arn:aws:iam::*:role/aws-ec2-spot-fleet-tagging-role"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "iam:CreateServiceLinkedRole",
                   "iam:ListRoles",
                   "iam:ListInstanceProfiles"
               ],
               "Resource": "*"
           }
       ]
   }
   

   위의 예제 정책은 사용자에게 대부분의 스팟 플릿 사용 사례에 필요한 권한을 부여합니다. 사용자를 특정 API 작업으로 제한하려면 대신 해당 작업만 지정하세요.

   필수 EC2 및 IAM API

   다음 API가 정책에 포함되어야 합니다.

   • ec2:RunInstances - 스팟 플릿에서 인스턴스를 시작하는 데 필요합니다.

   • ec2:CreateTags - 스팟 플릿 요청, 인스턴스 또는 볼륨을 태깅하는 데 필요합니다.

   • iam:PassRole - 스팟 플릿 역할을 지정하는 데 필요합니다.

   • iam:CreateServiceLinkedRole - 서비스 연결 역할을 생성하는 데 필요합니다.

   • iam:ListRoles - 기존 IAM 역할을 열거하는 데 필요합니다.

   • iam:ListInstanceProfiles - 기존 인스턴스 프로파일을 열거하는 데 필요합니다.

   중요

   시작 사양 또는 시작 템플릿에서 IAM 인스턴스 프로파일에 대한 역할을 지정하는 경우, 사용자에게 역할을 서비스에 전달할 수 있는 권한을 부여해야 합니다. 이를 위해 IAM 정책에 "arn:aws:iam::*:role/IamInstanceProfile-role" 작업을 위한 iam:PassRole 리소스를 포함하세요. 자세한 내용은 IAM 사용 설명서에서 사용자에게 AWS 서비스 역할을 전달할 수 있는 권한 부여를 참조하세요.

   스팟 플릿 API

   필요에 따라 다음 스팟 플릿 API 작업을 정책에 추가합니다.

   • ec2:RequestSpotFleet

   • ec2:ModifySpotFleetRequest

   • ec2:CancelSpotFleetRequests

   • ec2:DescribeSpotFleetRequests

   • ec2:DescribeSpotFleetInstances

   • ec2:DescribeSpotFleetRequestHistory

   선택적 IAM API

   (선택 사항) 사용자가 IAM 콘솔을 사용하여 역할 또는 인스턴스 프로파일을 생성할 수 있도록 하려면 정책에 다음 작업을 추가해야 합니다.

   • iam:AddRoleToInstanceProfile

   • iam:AttachRolePolicy

   • iam:CreateInstanceProfile

   • iam:CreateRole

   • iam:GetRole

   • iam:ListPolicies

4. 정책 검토를 선택합니다.

5. 정책 검토 페이지에 정책 이름과 설명을 입력한 다음 정책 생성을 선택합니다.

6. 액세스 권한을 제공하려면 사용자, 그룹 또는 역할에 권한을 추가하세요:

   • AWS IAM Identity Center의 사용자 및 그룹:

     권한 세트를 생성합니다. AWS IAM Identity Center 사용 설명서의 권한 세트 생성의 지침을 따릅니다.

   • 보안 인증 공급자를 통해 IAM에서 관리되는 사용자:

     ID 페더레이션을 위한 역할을 생성합니다. IAM 사용 설명서의 Create a role for a third-party identity provider (federation)의 지침을 따릅니다.

   • IAM 사용자:

     • 사용자가 맡을 수 있는 역할을 생성합니다. IAM 사용 설명서에서 Create a role for an IAM user의 지침을 따릅니다.

     • (권장되지 않음)정책을 사용자에게 직접 연결하거나 사용자를 사용자 그룹에 추가합니다. IAM 사용 설명서에서 사용자(콘솔)에 권한 추가의 지침을 따르세요.

콘솔을 사용하여 스팟 플릿에 대한 AWSServiceRoleForEC2SpotFleet 역할을 생성하려면 다음을 수행하세요.

1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 탐색 창에서 역할을 선택합니다.

3. 역할 생성(Create role)을 선택합니다.

4. 신뢰할 수 있는 엔터티 선택 페이지에서 다음을 수행합니다.

   1. 신뢰할 수 있는 엔터티 유형에서 AWS 서비스를 선택합니다.

   2. 사용 사례에서 서비스 또는 사용 사례로 EC2를 선택합니다.

   3. 사용 사례에서 EC2 - 스팟 플릿을 선택합니다.

      참고

      EC2 - 스팟 플릿 사용 사례는 필요한 IAM 권한으로 정책을 자동으로 생성하고 AWSEC2SpotFleetServiceRolePolicy를 역할 이름으로 제안합니다.

   4. 다음을 선택합니다.

5. 권한 추가 페이지에서 다음을 선택합니다.

6. 이름 지정, 검토 및 생성 페이지에서 역할 생성을 선택합니다.

CMK를 사용할 수 있도록 AWSServiceRoleForEC2SpotFleet 역할 권한을 부여하려면

• create-grant 명령을 사용하여 CMK에 권한을 추가하고 허용된 작업을 수행할 수 있는 권한이 부여된 보안 주체(AWSServiceRoleForEC2SpotFleet 서비스 연결 역할)를 지정합니다. CMK는 CMK의 key-id 파라미터 및 ARN에 의해 지정됩니다. 보안 주체는 AWSServiceRoleForEC2SpotFleet 서비스 연결 역할의 grantee-principal 파라미터 및 ARN에 의해 지정됩니다.

  aws kms create-grant \
      --region us-east-1 \
      --key-id arn:aws:kms:us-east-1:444455556666:key/1234abcd-12ab-34cd-56ef-1234567890ab \
      --grantee-principal arn:aws:iam::111122223333:role/aws-service-role/spotfleet.amazonaws.com/AWSServiceRoleForEC2SpotFleet \
      --operations "Decrypt" "Encrypt" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "CreateGrant" "DescribeKey" "ReEncryptFrom" "ReEncryptTo"

스팟 플릿 태깅을 위한 IAM 역할을 생성하려면

1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 탐색 창에서 역할을 선택합니다.

3. 역할 생성(Create role)을 선택합니다.

4. 신뢰할 수 있는 엔터티 선택 페이지의 신뢰할 수 있는 엔터티 유형(Trusted entity type) 아래에서 서비스(AWS service)를 선택합니다.

5. 사용 사례(Use case)의 기타 AWS 서비스 사용 사례(Use cases for other services)에서 EC2를 선택한 다음 EC2 - 스팟 플릿 태깅(EC2 - Spot Fleet Tagging)을 선택합니다.

6. 다음을 선택합니다.

7. 권한 추가 페이지에서 다음을 선택합니다.

8. 이름, 검토 및 생성 페이지에서 역할 이름(Role name)에서 역할 이름을 입력합니다(예: aws-ec2-spot-fleet-tagging-role).

9. 페이지에서 정보를 검토한 다음 역할 생성(Create role)을 선택합니다.

aws:SourceArn 및 aws:SourceAccount 조건 키 aws-ec2-spot-fleet-tagging-role 신뢰 정책 추가

1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 탐색 창에서 역할을 선택합니다.

3. 이전에 생성한 aws-ec2-spot-fleet-tagging-role을 찾아 링크(확인란 아님)를 선택합니다.

4. 요약(Summary)에서 신뢰 관계(Trust relationships) 탭을 선택한 후 신뢰 정책 편집(Edit trust policy)을 선택합니다.

5. JSON 문에 혼동된 대리자 문제(confused deputy problem)를 방지하는 aws:SourceAccount 및 aws:SourceArn 전역 조건 컨텍스트 키 등의 Condition 요소를 추가합니다.

   "Condition": {
         "ArnLike": {
           "aws:SourceArn": "arn:aws:ec2:us-east-1:account_id:spot-fleet-request/sfr-*"
         },
         "StringEquals": {
           "aws:SourceAccount": "account_id"
         }

   참고

   aws:SourceArn 값에 계정 ID가 포함되고 두 전역 조건 컨텍스트 키를 사용하는 경우, aws:SourceAccount 값 및 aws:SourceArn 값의 계정은 동일한 정책 문에서 사용될 경우 반드시 같은 계정 ID를 사용해야 합니다.

   최종 신뢰 정책은 다음과 같습니다.

   JSON

   {
     "Version": "2012-10-17",
     "Statement": {
       "Sid": "ConfusedDeputyPreventionExamplePolicy",
       "Effect": "Allow",
       "Principal": {
         "Service": "spotfleet.amazonaws.com"
       },
       "Action": "sts:AssumeRole",
       "Condition": {
         "ArnLike": {
           "aws:SourceArn": "arn:aws:ec2:us-east-1:account_id:spot-fleet-request/sfr-*"
         },
         "StringEquals": {
           "aws:SourceAccount": "account_id"
         }
       }
     }
   }
   

6. 정책 업데이트(Update policy)를 선택합니다.