BatchServiceRolePolicy AWSBatchServiceRole AWSBatchFullAccess 政策更新

AWS 的受管政策 AWS Batch

您可以使用 AWS 受管政策為您的團隊和佈建的 AWS 資源進行更簡單的身分存取管理。 AWS 受管政策涵蓋各種常見的使用案例，預設可在 AWS 您的帳戶中使用，並且會代表您進行維護和更新。您無法變更 AWS 受管政策中的許可。如果您需要更大的彈性，您也可以選擇建立 IAM 客戶受管政策。如此一來，您就可以為團隊佈建的資源提供他們所需的確切許可。

如需 AWS 受管政策的詳細資訊，請參閱《IAM 使用者指南》中的 AWS 受管政策。

AWS 服務會代表您維護和更新 AWS 受管政策。 AWS 服務會定期將其他許可新增至 AWS 受管政策。當新功能啟動或操作可用時，最有可能更新受 AWS 管政策。這些更新會自動影響附加政策的所有身分（使用者、群組和角色）。不過，它們不會移除許可或破壞現有的許可。

此外， AWS 支援跨多個服務之任務函數的受管政策。例如， ReadOnlyAccess AWS 受管政策提供所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時，會為新操作和資源 AWS 新增唯讀許可。如需任務職能政策的清單和說明，請參閱 IAM 使用者指南中有關任務職能的AWS 受管政策。

AWS 受管政策：BatchServiceRolePolicy

BatchServiceRolePolicy 受管 IAM 政策由AWSServiceRoleForBatch服務連結角色使用。這可讓代表您 AWS Batch 執行動作。您無法將此政策連接至 IAM 實體。如需詳細資訊，請參閱使用的服務連結角色 AWS Batch。

此政策允許 AWS Batch 在特定資源上完成下列動作：

autoscaling – 允許 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 資源。為大多數運算環境 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 群組。
ec2 – 允許 AWS Batch 控制 Amazon EC2 執行個體的生命週期，以及建立和管理啟動範本和標籤。 AWS Batch 會建立和管理某些 EC2 Spot 運算環境的 EC2 Spot 機群請求。
ecs - 允許為任務執行 AWS Batch 建立和管理 Amazon ECS 叢集、任務定義和任務。
eks - 允許 AWS Batch 描述用於驗證的 Amazon EKS 叢集資源。
iam - 允許 AWS Batch 驗證擁有者提供的角色並將其傳遞給 Amazon EC2、Amazon EC2 Auto Scaling 和 Amazon ECS。
logs – 允許 AWS Batch 建立和管理 AWS Batch 任務的日誌群組和日誌串流。

JSON


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSBatchPolicyStatement1",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeAccountAttributes",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInstanceAttribute",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeKeyPairs",
                "ec2:DescribeImages",
                "ec2:DescribeImageAttribute",
                "ec2:DescribeSpotInstanceRequests",
                "ec2:DescribeSpotFleetInstances",
                "ec2:DescribeSpotFleetRequests",
                "ec2:DescribeSpotPriceHistory",
                "ec2:DescribeSpotFleetRequestHistory",
                "ec2:DescribeVpcClassicLink",
                "ec2:DescribeLaunchTemplateVersions",
                "ec2:RequestSpotFleet",
                "autoscaling:DescribeAccountLimits",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribeLaunchConfigurations",
                "autoscaling:DescribeAutoScalingInstances",
                "autoscaling:DescribeScalingActivities",
                "eks:DescribeCluster",
                "ecs:DescribeClusters",
                "ecs:DescribeContainerInstances",
                "ecs:DescribeTaskDefinition",
                "ecs:DescribeTasks",
                "ecs:ListClusters",
                "ecs:ListContainerInstances",
                "ecs:ListTaskDefinitionFamilies",
                "ecs:ListTaskDefinitions",
                "ecs:ListTasks",
                "ecs:DeregisterTaskDefinition",
                "ecs:TagResource",
                "ecs:ListAccountSettings",
                "logs:DescribeLogGroups",
                "iam:GetInstanceProfile",
                "iam:GetRole"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AWSBatchPolicyStatement2",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/batch/job*"
        },
        {
            "Sid": "AWSBatchPolicyStatement3",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/batch/job*:log-stream:*"
        },
        {
            "Sid": "AWSBatchPolicyStatement4",
            "Effect": "Allow",
            "Action": [
                "autoscaling:CreateOrUpdateTags"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/AWSBatchServiceTag": "false"
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement5",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ec2.amazonaws.com",
                        "ec2.amazonaws.com.rproxy.govskope.ca.cn",
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement6",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": [
                        "spot.amazonaws.com",
                        "spotfleet.amazonaws.com",
                        "autoscaling.amazonaws.com",
                        "ecs.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement7",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateLaunchTemplate"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/AWSBatchServiceTag": "false"
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement8",
            "Effect": "Allow",
            "Action": [
                "ec2:TerminateInstances",
                "ec2:CancelSpotFleetRequests",
                "ec2:ModifySpotFleetRequest",
                "ec2:DeleteLaunchTemplate"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/AWSBatchServiceTag": "false"
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement9",
            "Effect": "Allow",
            "Action": [
                "autoscaling:CreateLaunchConfiguration",
                "autoscaling:DeleteLaunchConfiguration"
            ],
            "Resource": "arn:aws:autoscaling:*:*:launchConfiguration:*:launchConfigurationName/AWSBatch*"
        },
        {
            "Sid": "AWSBatchPolicyStatement10",
            "Effect": "Allow",
            "Action": [
                "autoscaling:CreateAutoScalingGroup",
                "autoscaling:UpdateAutoScalingGroup",
                "autoscaling:SetDesiredCapacity",
                "autoscaling:DeleteAutoScalingGroup",
                "autoscaling:SuspendProcesses",
                "autoscaling:PutNotificationConfiguration",
                "autoscaling:TerminateInstanceInAutoScalingGroup"
            ],
            "Resource": "arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/AWSBatch*"
        },
        {
            "Sid": "AWSBatchPolicyStatement11",
            "Effect": "Allow",
            "Action": [
                "ecs:DeleteCluster",
                "ecs:DeregisterContainerInstance",
                "ecs:RunTask",
                "ecs:StartTask",
                "ecs:StopTask"
            ],
            "Resource": "arn:aws:ecs:*:*:cluster/AWSBatch*"
        },
        {
            "Sid": "AWSBatchPolicyStatement12",
            "Effect": "Allow",
            "Action": [
                "ecs:RunTask",
                "ecs:StartTask",
                "ecs:StopTask"
            ],
            "Resource": "arn:aws:ecs:*:*:task-definition/*"
        },
        {
            "Sid": "AWSBatchPolicyStatement13",
            "Effect": "Allow",
            "Action": [
                "ecs:StopTask"
            ],
            "Resource": "arn:aws:ecs:*:*:task/*/*"
        },
        {
            "Sid": "AWSBatchPolicyStatement14",
            "Effect": "Allow",
            "Action": [
                "ecs:CreateCluster",
                "ecs:RegisterTaskDefinition"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/AWSBatchServiceTag": "false"
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement15",
            "Effect": "Allow",
            "Action": "ec2:RunInstances",
            "Resource": [
                "arn:aws:ec2:*::image/*",
                "arn:aws:ec2:*::snapshot/*",
                "arn:aws:ec2:*:*:subnet/*",
                "arn:aws:ec2:*:*:network-interface/*",
                "arn:aws:ec2:*:*:security-group/*",
                "arn:aws:ec2:*:*:volume/*",
                "arn:aws:ec2:*:*:key-pair/*",
                "arn:aws:ec2:*:*:launch-template/*",
                "arn:aws:ec2:*:*:placement-group/*",
                "arn:aws:ec2:*:*:capacity-reservation/*",
                "arn:aws:ec2:*:*:elastic-gpu/*",
                "arn:aws:elastic-inference:*:*:elastic-inference-accelerator/*",
                "arn:aws:resource-groups:*:*:group/*"
            ]
        },
        {
            "Sid": "AWSBatchPolicyStatement16",
            "Effect": "Allow",
            "Action": "ec2:RunInstances",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/AWSBatchServiceTag": "false"
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement17",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": [
                        "RunInstances",
                        "CreateLaunchTemplate",
                        "RequestSpotFleet"
                    ]
                }
            }
        }
    ]
}

AWS 受管政策：AWSBatchServiceRole 政策

名為 AWSBatchServiceRole 的角色許可政策允許 AWS Batch 在特定資源上完成下列動作：

AWSBatchServiceRole 受管 IAM 政策通常由名為 AWSBatchServiceRole 的角色使用，並包含下列許可。遵循授予最低權限的標準安全建議，可使用 AWSBatchServiceRole 受管政策做為指南。如果您的使用案例不需要受管政策中授予的任何許可，請建立自訂政策並僅新增您需要的許可。此 AWS Batch 受管政策和角色可以與大多數運算環境類型搭配使用，但服務連結角色使用率較不容易出錯、範圍更好並改善受管體驗。

autoscaling – 允許 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 資源。為大多數運算環境 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 群組。
ec2 – 允許 AWS Batch 管理 Amazon EC2 執行個體的生命週期，以及建立和管理啟動範本和標籤。 AWS Batch 會建立和管理某些 EC2 Spot 運算環境的 EC2 Spot 機群請求。
ecs - 允許為任務執行 AWS Batch 建立和管理 Amazon ECS 叢集、任務定義和任務。
iam - 允許 AWS Batch 驗證擁有者提供的角色並將其傳遞給 Amazon EC2、Amazon EC2 Auto Scaling 和 Amazon ECS。
logs – 允許 AWS Batch 建立和管理 AWS Batch 任務的日誌群組和日誌串流。

JSON


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSBatchPolicyStatement1",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeAccountAttributes",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInstanceAttribute",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeKeyPairs",
                "ec2:DescribeImages",
                "ec2:DescribeImageAttribute",
                "ec2:DescribeSpotInstanceRequests",
                "ec2:DescribeSpotFleetInstances",
                "ec2:DescribeSpotFleetRequests",
                "ec2:DescribeSpotPriceHistory",
                "ec2:DescribeSpotFleetRequestHistory",
                "ec2:DescribeVpcClassicLink",
                "ec2:DescribeLaunchTemplateVersions",
                "ec2:CreateLaunchTemplate",
                "ec2:DeleteLaunchTemplate",
                "ec2:RequestSpotFleet",
                "ec2:CancelSpotFleetRequests",
                "ec2:ModifySpotFleetRequest",
                "ec2:TerminateInstances",
                "ec2:RunInstances",
                "autoscaling:DescribeAccountLimits",
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribeLaunchConfigurations",
                "autoscaling:DescribeAutoScalingInstances",
                "autoscaling:DescribeScalingActivities",
                "autoscaling:CreateLaunchConfiguration",
                "autoscaling:CreateAutoScalingGroup",
                "autoscaling:UpdateAutoScalingGroup",
                "autoscaling:SetDesiredCapacity",
                "autoscaling:DeleteLaunchConfiguration",
                "autoscaling:DeleteAutoScalingGroup",
                "autoscaling:CreateOrUpdateTags",
                "autoscaling:SuspendProcesses",
                "autoscaling:PutNotificationConfiguration",
                "autoscaling:TerminateInstanceInAutoScalingGroup",
                "ecs:DescribeClusters",
                "ecs:DescribeContainerInstances",
                "ecs:DescribeTaskDefinition",
                "ecs:DescribeTasks",
                "ecs:ListAccountSettings",
                "ecs:ListClusters",
                "ecs:ListContainerInstances",
                "ecs:ListTaskDefinitionFamilies",
                "ecs:ListTaskDefinitions",
                "ecs:ListTasks",
                "ecs:CreateCluster",
                "ecs:DeleteCluster",
                "ecs:RegisterTaskDefinition",
                "ecs:DeregisterTaskDefinition",
                "ecs:RunTask",
                "ecs:StartTask",
                "ecs:StopTask",
                "ecs:UpdateContainerAgent",
                "ecs:DeregisterContainerInstance",
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:DescribeLogGroups",
                "iam:GetInstanceProfile",
                "iam:GetRole"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AWSBatchPolicyStatement2",
            "Effect": "Allow",
            "Action": "ecs:TagResource",
            "Resource": [
                "arn:aws:ecs:*:*:task/*_Batch_*"
            ]
        },
        {
            "Sid": "AWSBatchPolicyStatement3",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ec2.amazonaws.com",
                        "ec2.amazonaws.com.rproxy.govskope.ca.cn",
                        "ecs-tasks.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement4",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": [
                        "spot.amazonaws.com",
                        "spotfleet.amazonaws.com",
                        "autoscaling.amazonaws.com",
                        "ecs.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "AWSBatchPolicyStatement5",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "RunInstances"
                }
            }
        }
    ]
}

AWS 受管政策：AWSBatchFullAccess

AWSBatchFullAccess 政策會授予 AWS Batch 動作對 AWS Batch 資源的完整存取權。它還授予描述和列出 Amazon EC2、Amazon ECS、Amazon EKS、CloudWatch 和 IAM 服務的動作存取權。如此一來，使用者或角色的 IAM 身分就可以檢視代其建立的 AWS Batch 受管資源。最後，此政策也允許將選取的 IAM 角色傳遞給這些服務。

您可以將 AWSBatchFullAccess 連接到您的 IAM 實體。 AWS Batch 也會將此政策連接到允許代表您 AWS Batch 執行動作的服務角色。

AWS BatchAWS 受管政策的更新

檢視自此服務開始追蹤這些變更 AWS Batch 以來， AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 AWS Batch 文件歷史記錄頁面上的 RSS 摘要。

變更	描述	日期
BatchServiceRolePolicy 政策已更新	更新以新增描述 Spot Fleet 請求歷史記錄和 Amazon EC2 Auto Scaling 活動的支援。	2023 年 12 月 5 日
新增 AWSBatchServiceRole 政策	更新以新增陳述式 IDs，將 AWS Batch 許可授予 `ec2:DescribeSpotFleetRequestHistory`和 `autoscaling:DescribeScalingActivities`。	2023 年 12 月 5 日
BatchServiceRolePolicy 政策已更新	更新以新增描述 Amazon EKS 叢集的支援。	2022 年 10 月 20 日
AWSBatchFullAccess 政策已更新	更新以新增列出和描述 Amazon EKS 叢集的支援。	2022 年 10 月 20 日
BatchServiceRolePolicy 政策已更新	更新以新增對由管理之 Amazon EC2 容量保留群組的支援 AWS Resource Groups。如需詳細資訊，請參閱《Amazon EC2 使用者指南》中的使用容量保留群組。	2022 年 5 月 18 日
BatchServiceRolePolicy 和 AWSBatchServiceRole 政策已更新	更新以新增在 Amazon EC2 中描述 AWS Batch 受管執行個體狀態的支援，以便取代運作狀態不佳的執行個體。	2021 年 12 月 6 日
BatchServiceRolePolicy 政策已更新	更新以新增對 Amazon EC2 中置放群組、容量保留、彈性 GPU 和彈性推論資源的支援。	2021 年 3 月 26 日
已新增 BatchServiceRolePolicy 政策	透過 AWSServiceRoleForBatch 服務連結角色的 BatchServiceRolePolicy 受管政策，您可以使用由管理的服務連結角色 AWS Batch。使用此政策，您不需要維護自己的角色，即可在運算環境中使用。	2021 年 3 月 10 日
AWSBatchFullAccess - 新增新增服務連結角色的許可	新增 IAM 許可，以允許將 AWSServiceRoleForBatch 服務連結角色新增至帳戶。	2021 年 3 月 10 日
AWS Batch 已開始追蹤變更	AWS Batch 已開始追蹤其 AWS 受管政策的變更。	2021 年 3 月 10 日

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

身分型政策範例

IAM 政策、角色和許可

AWS 的 受管政策 AWS Batch

AWS 受管政策：BatchServiceRolePolicy

AWS 受管政策：AWSBatchServiceRole 政策

AWS 受管政策：AWSBatchFullAccess

AWS BatchAWS 受管政策的更新

AWS 的受管政策 AWS Batch