Amazon ECS 컨테이너 인스턴스 IAM 역할

Elastic Container Service에 대한 서비스 역할을 생성하는 방법(IAM 콘솔)

1. AWS Management Console에 로그인하여 https://console.aws.amazon.com/iam/ 에서 IAM 콘솔을 엽니다.

2. IAM 콘솔의 탐색 창에서 역할을 선택하고 역할 생성을 선택합니다.

3. 신뢰할 수 있는 엔터티 유형에 AWS 서비스를 선택합니다.

4. 서비스 또는 사용 사례의 경우 Elastic Container Service를 선택하고 Elastic Container Service의 EC2 역할 사용 사례를 선택합니다.

5. 다음을 선택합니다.

6. 권한 정책 섹션에서 AmazonEC2ContainerServiceforEC2Role 정책을 선택했는지 확인합니다.

   중요

   AmazonEC2ContainerServiceforEC2Role 관리형 정책이 컨테이너 인스턴스 IAM 역할에 연결되어야 합니다. 그렇지 않으면 AWS Management Console을 사용하여 클러스터를 생성할 때 오류가 표시됩니다.

7. 다음을 선택합니다.

8. 역할 이름에 ecsInstanceRole을 입력합니다.

9. 역할을 검토한 다음 역할 생성을 선택합니다.

1. 다음 콘텐츠를 가진 instance-role-trust-policy.json이라는 파일을 생성합니다:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": { "Service": "ec2.amazonaws.com"},
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. 다음 명령을 사용하여 신뢰 정책 문서를 사용해 인스턴스 IAM 역할을 생성합니다.

   aws iam create-role \
       --role-name ecsInstanceRole \
       --assume-role-policy-document file://instance-role-trust-policy.json

3. create-instance-profile 명령을 사용하여 ecsInstanceRole-profile라는 인스턴스 프로파일을 만듭니다.

   aws iam create-instance-profile --instance-profile-name ecsInstanceRole-profile

   응답의 예

   {
       "InstanceProfile": {
           "InstanceProfileId": "AIPAJTLBPJLEGREXAMPLE",
           "Roles": [],
           "CreateDate": "2022-04-12T23:53:34.093Z",
           "InstanceProfileName": "ecsInstanceRole-profile",
           "Path": "/",
           "Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole-profile"
       }
   }

4. ecsInstanceRole 인스턴스 프로파일에 ecsInstanceRole-profile 역할을 추가합니다.

   aws iam add-role-to-instance-profile \
       --instance-profile-name ecsInstanceRole-profile \
       --role-name ecsInstanceRole

5. 다음 명령으로 AmazonEC2ContainerServiceRoleForEC2Role 관리형 정책을 역할에 연결합니다.

   aws iam attach-role-policy \
       --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \
       --role-name ecsInstanceRole

JSON 정책 편집기를 사용하여 정책을 생성하려면

1. AWS Management Console에 로그인하여 https://console.aws.amazon.com/iam/ 에서 IAM 콘솔을 엽니다.

2. 왼쪽의 탐색 창에서 정책을 선택합니다.

   정책을 처음으로 선택하는 경우 관리형 정책 소개 페이지가 나타납니다. 시작을 선택합니다.

3. 페이지 상단에서 정책 생성을 선택합니다.

4. 정책 편집기 섹션에서 JSON 옵션을 선택합니다.

5. 다음 JSON 정책 문서를 입력합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

6. 다음을 선택합니다.

   참고

   언제든지 시각적 편집기 옵션과 JSON 편집기 옵션 간에 전환할 수 있습니다. 그러나 변경을 적용하거나 시각적 편집기에서 다음을 선택한 경우 IAM은 시각적 편집기에 최적화되도록 정책을 재구성할 수 있습니다. 자세한 내용은 IAM 사용 설명서의 정책 재구성을 참조하세요.

7. 검토 및 생성 페이지에서 생성하는 정책에 대한 정책 이름과 설명(선택 사항)을 입력합니다. 이 정책에 정의된 권한을 검토하여 정책이 부여한 권한을 확인합니다.

8. 정책 생성을 선택하고 새로운 정책을 저장합니다.

1. 다음 콘텐츠를 통해 instance-cw-logs.json이라는 파일을 생성합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:DescribeLogStreams"
               ],
               "Resource": ["arn:aws:logs:*:*:*"]
           }
       ]
   }

2. 다음 명령을 사용하여 JSON 정책 문서 파일을 사용해 IAM 정책을 생성합니다.

   aws iam create-policy \
         --policy-name cwlogspolicy \
         --policy-document file://instance-cw-logs.json

3. 다음 명령을 사용하여 생성한 IAM 정책의 ARN을 검색합니다. cwlogspolicy를 사용자가 생성한 정책 이름으로 바꿉니다.

   aws iam list-policies --scope Local --query 'Policies[?PolicyName==`cwlogspolicy`].Arn'

4. 다음 명령을 사용하여 정책 ARN을 사용해 정책을 컨테이너 인스턴스 IAM 역할에 연결합니다.

   aws iam attach-role-policy \
         --role-name ecsInstanceRole \
         --policy-arn arn:aws:iam:111122223333:aws:policy/cwlogspolicy