本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 中的安全性 AWS Batch
的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構是為了滿足最安全敏感組織的需求而建置。
安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性：
+ **雲端的安全性** – AWS 負責保護在 中執行 AWS 服務的基礎設施 AWS 雲端。 AWS 也為您提供可安全使用的服務。在[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)中，第三方稽核人員會定期測試和驗證我們安全的有效性。若要了解適用的合規計劃 AWS Batch，請參閱合規[AWS 計劃的 服務範圍合規](https://aws.amazon.com/compliance/services-in-scope/)。
+ **雲端內部的安全**：您的責任取決於所使用的 AWS 服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。
本文件可協助您了解如何在使用 時套用共同責任模型 AWS Batch。下列主題說明如何設定 AWS Batch 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 AWS Batch 資源。
**Topics**
+ [的 Identity and Access Management AWS Batch](security-iam.md)
+ [AWS Batch IAM 政策、角色和許可](IAM_policies.md)
+ [AWS Batch IAM 執行角色](execution-IAM-role.md)
+ [建立 Virtual Private Cloud](create-public-private-vpc.md)
+ [使用界面端點存取 AWS Batch](vpc-interface-endpoints.md)
+ [的合規驗證 AWS Batch](compliance.md)
+ [中的基礎設施安全 AWS Batch](infrastructure-security.md)
+ [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md)
+ [使用 記錄 AWS Batch API 呼叫 AWS CloudTrail](logging-using-cloudtrail.md)
+ [IAM AWS Batch 故障診斷](security_iam_troubleshoot.md)
# 的 Identity and Access Management AWS Batch
AWS Identity and Access Management (IAM) 是一種 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以進行*驗證 *（登入） 和*授權* （具有許可） 來使用 AWS Batch 資源。IAM 是您可以免費使用 AWS 服務 的 。
**Topics**
+ [目標對象](#security_iam_audience)
+ [使用身分驗證](#security_iam_authentication)
+ [使用政策管理存取權](#security_iam_access-manage)
+ [AWS Batch 如何使用 IAM](security_iam_service-with-iam.md)
+ [的身分型政策範例 AWS Batch](security_iam_id-based-policy-examples.md)
+ [AWS 的 受管政策 AWS Batch](security-iam-awsmanpol.md)
## 目標對象
使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同：
+ **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [IAM AWS Batch 故障診斷](security_iam_troubleshoot.md))
+ **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS Batch 如何使用 IAM](security_iam_service-with-iam.md))
+ **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [的身分型政策範例 AWS Batch](security_iam_id-based-policy-examples.md))
## 使用身分驗證
身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。
您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。
對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。
### AWS 帳戶 根使用者
當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
### 聯合身分
最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。
*聯合身分*是來自您的企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 的使用者。聯合身分會擔任角色，而該角色會提供臨時憑證。
若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。
### IAM 使用者和群組
*IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。
[IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。
### IAM 角色
*IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。
IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
## 使用政策管理存取權
您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。
管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。
預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。
### 身分型政策
身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。
### 資源型政策
資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。
資源型政策是位於該服務中的內嵌政策。您無法在以資源為基礎的政策中使用來自 IAM 的 AWS 受管政策。
### 其他政策類型
AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可：
+ **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。
+ **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。
+ **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。
+ **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。
### 多種政策類型
當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多個政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。
# AWS Batch 如何使用 IAM
在您使用 IAM 管理對 的存取之前 AWS Batch，請先了解可使用哪些 IAM 功能 AWS Batch。
**您可以搭配 使用的 IAM 功能 AWS Batch**
| IAM 功能 | AWS Batch 支援 |
| --- | --- |
| [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 |
| 資源型政策 | 否 |
| [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 |
| [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 |
| [政策條件索引鍵](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 |
| ACL | 否 |
| [ABAC (政策中的標籤)](#security_iam_service-with-iam-tags) | 是 |
| [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 |
| [主體許可](#security_iam_service-with-iam-principal-permissions) | 是 |
| [服務角色](#security_iam_service-with-iam-roles-service) | 是 |
| [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 是 |
若要全面了解 AWS Batch 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## 的身分型政策 AWS Batch
**支援身分型政策：**是
身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### 的身分型政策範例 AWS Batch
若要檢視 AWS Batch 身分型政策的範例，請參閱 [的身分型政策範例 AWS Batch](security_iam_id-based-policy-examples.md)。
## 的政策動作 AWS Batch
**支援政策動作：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。
若要查看 AWS Batch 動作清單，請參閱《*服務授權參考*》中的 [定義的動作 AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-actions-as-permissions)。
中的政策動作在動作之前 AWS Batch 使用下列字首：
```
batch
```
如需在單一陳述式中指定多個動作，請用逗號分隔。
```
"Action": [
"batch:action1",
"batch:action2"
]
```
您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定開頭是 `Describe` 文字的所有動作，請包含以下動作：
```
"Action": "batch:Describe*"
```
若要檢視 AWS Batch 身分型政策的範例，請參閱 [的身分型政策範例 AWS Batch](security_iam_id-based-policy-examples.md)。
## 的政策資源 AWS Batch
**支援政策資源：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。
```
"Resource": "*"
```
若要查看 AWS Batch 資源類型及其 ARNs，請參閱*《服務授權參考*》中的 [定義的資源 AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [AWS Batch定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-actions-as-permissions)。
## 的政策條件索引鍵 AWS Batch
**支援服務特定政策條件金鑰：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
若要查看 AWS Batch 條件金鑰清單，請參閱*服務授權參考*中的 [的條件金鑰 AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-policy-keys)。若要了解您可以使用條件金鑰的動作和資源，請參閱 [定義的動作 AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-actions-as-permissions)。
## 使用 的屬性型存取控制 (ABAC) AWS Batch
**支援 ABAC (政策中的標籤)：**是
屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在主體的標籤符合資源上的標籤時允許操作。
如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。
如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。
如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。
## 搭配 使用臨時登入資料 AWS Batch
**支援臨時憑證：**是
臨時登入資料提供對 AWS 資源的短期存取，並在您使用聯合或切換角色時自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## 的跨服務主體許可 AWS Batch
**支援轉寄存取工作階段 (FAS)：**是
轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，並結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。
## 的服務角色 AWS Batch
**支援服務角色：**是
服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
**警告**
變更服務角色的許可可能會中斷 AWS Batch 功能。只有 AWS Batch 提供指引時，才能編輯服務角色。
## 的服務連結角色 AWS Batch
**支援服務連結角色：**是
服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
如需建立或管理服務連結角色的詳細資訊，請參閱[可搭配 IAM 運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在資料表中尋找服務，其中包含**服務連結角色**欄中的 `Yes`。選擇**是**連結，以檢視該服務的服務連結角色文件。
# 的身分型政策範例 AWS Batch
根據預設，使用者和角色不具備建立或修改 AWS Batch 資源的權限。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。
如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。
如需 定義的動作和資源類型的詳細資訊 AWS Batch，包括每個資源類型的 ARNs 格式，請參閱*服務授權參考*中的[適用於 的動作、資源和條件金鑰 AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html)。
**Topics**
+ [政策最佳實務](#security_iam_service-with-iam-policy-best-practices)
+ [使用 AWS Batch 主控台](#security_iam_id-based-policy-examples-console)
+ [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions)
## 政策最佳實務
身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS Batch 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 ，例如 使用服務動作 AWS 服務，您也可以使用條件來授予存取 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 使用 AWS Batch 主控台
若要存取 AWS Batch 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 AWS Batch 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。
對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。
為了確保使用者和角色仍然可以使用 AWS Batch 主控台，請將 AWS Batch `ConsoleAccess`或 `ReadOnly` AWS 受管政策連接到實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。
## 允許使用者檢視他們自己的許可
此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
# AWS 的 受管政策 AWS Batch
您可以使用 AWS 受管政策為您的團隊和佈建的 AWS 資源進行更簡單的身分存取管理。 AWS 受管政策涵蓋各種常見的使用案例，預設可在 AWS 您的帳戶中使用，並且會代表您進行維護和更新。您無法變更 AWS 受管政策中的許可。如果您需要更大的彈性，您也可以選擇建立 IAM 客戶受管政策。如此一來，您就可以為團隊佈建的資源提供他們所需的確切許可。
如需 AWS 受管政策的詳細資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
AWS 服務會代表您維護和更新 AWS 受管政策。 AWS 服務會定期將其他許可新增至 AWS 受管政策。當新功能啟動或操作可用時，最有可能更新 受 AWS 管政策。這些更新會自動影響附加政策的所有身分 （使用者、群組和角色）。不過，它們不會移除許可或破壞現有的許可。
此外， AWS 支援跨多個 服務之任務函數的受管政策。例如， `ReadOnlyAccess` AWS 受管政策提供所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時， 會為新操作和資源 AWS 新增唯讀許可。如需任務職能政策的清單和說明，請參閱 *IAM 使用者指南*中[有關任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
## AWS 受管政策：**BatchServiceRolePolicy**
**BatchServiceRolePolicy** 受管 IAM 政策由[`AWSServiceRoleForBatch`](using-service-linked-roles.md)服務連結角色使用。這可讓 代表您 AWS Batch 執行動作。您無法將此政策連接至 IAM 實體。如需詳細資訊，請參閱[使用 的服務連結角色 AWS Batch](using-service-linked-roles.md)。
此政策允許 在特定資源上 AWS Batch 完成下列動作：
+ `autoscaling` – 允許 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 資源。 會為大多數運算環境 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 群組。
+ `ec2` – 允許 AWS Batch 控制 Amazon EC2 執行個體的生命週期，以及建立和管理啟動範本和標籤。 AWS Batch 會建立和管理某些 EC2 Spot 運算環境的 EC2 Spot 機群請求。
+ `ecs` - 允許 為任務執行 AWS Batch 建立和管理 Amazon ECS 叢集、任務定義和任務。
+ `eks` - 允許 AWS Batch 描述用於驗證的 Amazon EKS 叢集資源。
+ `iam` - 允許 AWS Batch 驗證擁有者提供的角色並將其傳遞給 Amazon EC2、Amazon EC2 Auto Scaling 和 Amazon ECS。
+ `logs` – 允許 AWS Batch 建立和管理 AWS Batch 任務的日誌群組和日誌串流。
若要檢視政策的 JSON，請參閱《 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html)》中的 [BatchServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/BatchServiceRolePolicy.html)。
## AWS 受管政策：**AWSBatchServiceRolePolicyForSageMaker**
[`AWSServiceRoleForAWSBatchWithSagemaker`](using-service-linked-roles-batch-sagemaker.md) 允許 代表您 AWS Batch 執行動作。您無法將此政策連接至 IAM 實體。如需詳細資訊，請參閱[使用 的服務連結角色 AWS Batch](using-service-linked-roles.md)。
此政策允許 在特定資源上 AWS Batch 完成下列動作：
+ `sagemaker` – 允許 AWS Batch 管理 SageMaker AI 訓練任務和其他 SageMaker AI 資源。
+ `iam:PassRole` – 允許 AWS Batch 將客戶定義的執行角色傳遞給 SageMaker AI 以進行任務執行。資源限制允許將角色傳遞至 SageMaker AI 服務。
若要檢視政策的 JSON，請參閱《 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html)》中的 [AWSBatchServiceRolePolicyForSageMaker](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBatchServiceRolePolicyForSageMaker.html)。
## AWS 受管政策：**AWSBatchServiceRole** 政策
名為 **AWSBatchServiceRole** 的角色許可政策允許 AWS Batch 在特定資源上完成下列動作：
**AWSBatchServiceRole** 受管 IAM 政策通常由名為 **AWSBatchServiceRole** 的角色使用，並包含下列許可。遵循授予最低權限的標準安全建議，可使用 **AWSBatchServiceRole** 受管政策做為指南。如果您的使用案例不需要受管政策中授予的任何許可，請建立自訂政策並僅新增您需要的許可。此 AWS Batch 受管政策和角色可以與大多數運算環境類型搭配使用，但服務連結角色使用率較不容易出錯、範圍更好並改善受管體驗。
+ `autoscaling` – 允許 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 資源。 會為大多數運算環境 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 群組。
+ `ec2` – 允許 AWS Batch 管理 Amazon EC2 執行個體的生命週期，以及建立和管理啟動範本和標籤。 AWS Batch 會建立和管理某些 EC2 Spot 運算環境的 EC2 Spot 機群請求。
+ `ecs` - 允許 為任務執行 AWS Batch 建立和管理 Amazon ECS 叢集、任務定義和任務。
+ `iam` - 允許 AWS Batch 驗證擁有者提供的角色並將其傳遞給 Amazon EC2、Amazon EC2 Auto Scaling 和 Amazon ECS。
+ `logs` – 允許 AWS Batch 建立和管理 AWS Batch 任務的日誌群組和日誌串流。
若要檢視政策的 JSON，請參閱《 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html)》中的 [AWSBatchServiceRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBatchServiceRole.html)。
## AWS 受管政策：**AWSBatchFullAccess**
**AWSBatchFullAccess** 政策會授予 AWS Batch 動作對 AWS Batch 資源的完整存取權。它還授予描述和列出 Amazon EC2、Amazon ECS、Amazon EKS、CloudWatch 和 IAM 服務的動作存取權。這樣 IAM 身分，無論是使用者或角色，都可以檢視代其建立的 AWS Batch 受管資源。最後，此政策也允許將選取的 IAM 角色傳遞給這些服務。
您可以將 **AWSBatchFullAccess** 連接至 IAM 實體。 AWS Batch 也會將此政策連接至允許 代表您 AWS Batch 執行動作的服務角色。
若要檢視政策的 JSON，請參閱《 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html)》中的 [AWSBatchFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBatchFullAccess.html)。
## AWS Batch AWS 受管政策的更新
檢視自此服務開始追蹤這些變更 AWS Batch 以來， AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 AWS Batch 文件歷史記錄頁面上的 RSS 摘要。
| 變更 | 描述 | Date |
| --- | --- | --- |
| ****[ 新增 AWSBatchServiceRolePolicyForSageMaker](using-service-linked-roles-batch-sagemaker.md)**** 政策 | 新增 ** AWSBatchServiceRolePolicyForSageMaker** 服務連結角色的新 AWS 受管政策， AWS Batch 允許 代表您管理 SageMaker AI。 | 2025 年 7 月 31 日 |
| ****[BatchServiceRolePolicy](#security-iam-awsmanpol-BatchServiceRolePolicy)**** 政策已更新 | 更新以新增描述 Spot Fleet 請求歷史記錄和 Amazon EC2 Auto Scaling 活動的支援。 | 2023 年 12 月 5 日 |
| ****新增 [AWSBatchServiceRole](#security-iam-awsmanpol-AWSBatchServiceRolePolicy)**** 政策 | 更新以新增陳述式 IDs，將 AWS Batch 許可授予 `ec2:DescribeSpotFleetRequestHistory`和 `autoscaling:DescribeScalingActivities`。 | 2023 年 12 月 5 日 |
| **[BatchServiceRolePolicy](#security-iam-awsmanpol-BatchServiceRolePolicy)** 政策已更新 | 更新以新增描述 Amazon EKS 叢集的支援。 | 2022 年 10 月 20 日 |
| **[AWSBatchFullAccess](#security-iam-awsmanpol-BatchFullAccess)** 政策已更新 | 更新以新增列出和描述 Amazon EKS 叢集的支援。 | 2022 年 10 月 20 日 |
| **[BatchServiceRolePolicy](#security-iam-awsmanpol-BatchServiceRolePolicy)** 政策已更新 | 更新以新增由 管理之 Amazon EC2 容量保留群組的支援 AWS Resource Groups。如需詳細資訊，請參閱*《Amazon EC2 使用者指南*》中的[使用容量保留群組](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/create-cr-group.html)。 | 2022 年 5 月 18 日 |
| **[BatchServiceRolePolicy](#security-iam-awsmanpol-BatchServiceRolePolicy)** 和 **[AWSBatchServiceRole](using-service-linked-roles.md)** 政策已更新 | 更新以新增在 Amazon EC2 中描述 AWS Batch 受管執行個體狀態的支援，以便取代運作狀態不佳的執行個體。 | 2021 年 12 月 6 日 |
| **[BatchServiceRolePolicy](#security-iam-awsmanpol-BatchServiceRolePolicy)** 政策已更新 | 更新以新增對 Amazon EC2 中置放群組、容量保留、彈性 GPU 和彈性推論資源的支援。 | 2021 年 3 月 26 日 |
| 已新增 **[BatchServiceRolePolicy](#security-iam-awsmanpol-BatchServiceRolePolicy)** 政策 | 透過 **AWSServiceRoleForBatch** 服務連結角色的 **BatchServiceRolePolicy** 受管政策，您可以使用由 管理的服務連結角色 AWS Batch。使用此政策，您不需要維護自己的角色，即可在運算環境中使用。 | 2021 年 3 月 10 日 |
| **[AWSBatchFullAccess](#security-iam-awsmanpol-BatchFullAccess)** - 新增新增服務連結角色的許可 | 新增 IAM 許可，以允許將 **AWSServiceRoleForBatch** 服務連結角色新增至帳戶。 | 2021 年 3 月 10 日 |
| AWS Batch 已開始追蹤變更 | AWS Batch 已開始追蹤其 AWS 受管政策的變更。 | 2021 年 3 月 10 日 |
# AWS Batch IAM 政策、角色和許可
根據預設，使用者沒有使用 AWS Batch API、主控台或 建立或修改 AWS Batch 資源或執行任務 AWS Batch 的許可 AWS CLI。若要允許使用者執行這些動作，請建立 IAM 政策，以授予使用者特定資源和 API 操作的許可。然後，將政策連接到需要這些許可的使用者或群組。
當您將政策連接到使用者或使用者群組時，政策會允許或拒絕在特定資源上執行特定任務的許可。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[許可和政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/PermissionsAndPolicies.html)。如需管理和建立自訂 IAM 政策的詳細資訊，請參閱[管理 IAM 政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/ManagingPolicies.html)。
AWS Batch AWS 服務 會代表您呼叫其他 。因此， AWS Batch 必須使用您的登入資料進行身分驗證。更具體地說，透過建立提供這些許可的 IAM 角色和政策進行 AWS Batch 身分驗證。然後，當您建立角色時，它會將角色與您的運算環境建立關聯。如需詳細資訊，請參閱《[IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/roles-toplevel.html) *使用者指南*》中的 [Amazon ECS 執行個體角色](instance_IAM_role.md)、IAM 角色、[使用服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html)，以及[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
**Topics**
+ [IAM 政策結構](iam-policy-structure.md)
+ [資源： 的政策範例 AWS Batch](ExamplePolicies_BATCH.md)
+ [Resource： AWS Batch managed 政策](batch_managed_policies.md)
# IAM 政策結構
下列主題說明 IAM 政策的結構。
**Topics**
+ [政策語法](#policy-syntax)
+ [的 API 動作 AWS Batch](#UsingWithbatch_Actions)
+ [的 Amazon Resource Name AWS Batch](#batch_ARN_Format)
+ [確認使用者具有必要的許可](#check-required-permissions)
## 政策語法
IAM 政策為包含一或多個陳述式的 JSON 文件。每個陳述式的結構如下所示。
```
{
"Statement":[{
"Effect":"effect",
"Action":"action",
"Resource":"arn",
"Condition":{
"condition":{
"key":"value"
}
}
}
]
}
```
陳述式由四個主要元素組成：
+ **Effect** (效果)：*效果* 可以是 `Allow` 或 `Deny`。根據預設，使用者沒有使用資源和 API 動作的許可。因此，所有請求都會遭到拒絕。明確允許覆寫預設值。明確拒絕覆寫任何允許。
+ **動作**：*動作*是您授予或拒絕許可的特定 API 動作。如需如何指定*動作*的指示，請參閱 [的 API 動作 AWS Batch](#UsingWithbatch_Actions)。
+ **Resource** (資源)：受動作影響的資源。透過某些 AWS Batch API 動作，您可以在政策中包含可由動作建立或修改的特定資源。若要在陳述式中指定資源，請使用它的 Amazon Resource Name (ARN)。如需詳細資訊，請參閱[AWS Batch API 動作支援的資源層級許可](batch-supported-iam-actions-resources.md)及[的 Amazon Resource Name AWS Batch](#batch_ARN_Format)。如果 AWS Batch API 操作目前不支援資源層級許可，請包含萬用字元 (\$1)，以指定所有資源都可能受到 動作的影響。
+ **Condition** (條件)：條件為選擇性。您可以使用它們來控制何時政策開始生效。
如需 IAM 政策陳述式範例的詳細資訊 AWS Batch，請參閱 [資源： 的政策範例 AWS Batch](ExamplePolicies_BATCH.md)。
## 的 API 動作 AWS Batch
在 IAM 政策陳述式中，您可以從任何支援 IAM 的服務指定任何 API 動作。對於 AWS Batch，請使用下列字首搭配 API 動作的名稱： `batch:`（例如， `batch:SubmitJob`和 `batch:CreateComputeEnvironment`)。
若要在單一陳述式中指定多個動作，請以逗號分隔每個動作。
```
"Action": ["batch:action1", "batch:action2"]
```
您也可以透過包含萬用字元 (\$1) 來指定多個動作。例如，您可以指定名稱開頭為「Describe」的所有動作。
```
"Action": "batch:Describe*"
```
若要指定所有 AWS Batch API 動作，請包含萬用字元 (\$1)。
```
"Action": "batch:*"
```
如需 AWS Batch 動作清單，請參閱 *AWS Batch API 參考*中的[動作](https://docs.aws.amazon.com/batch/latest/APIReference/API_Operations.html)。
## 的 Amazon Resource Name AWS Batch
每個 IAM 政策陳述式都適用於您使用其 Amazon Resource Name (ARNs) 指定的資源。
Amazon Resource Name (ARN) 具有下列一般語法：
```
arn:aws:[service]:[region]:[account]:resourceType/resourcePath
```
*服務*
服務 (例如，`batch`)。
*region*
資源 AWS 區域 的 （例如，`us-east-2`)。
*account*
AWS 帳戶 ID，不含連字號 （例如 `123456789012`)。
*resourceType*
資源類型 (例如，`compute-environment`)。
*resourcePath*
識別資源的路徑。您可以在路徑中使用萬用字元 (\$1)。
AWS Batch API 操作目前支援數個 API 操作的資源層級許可。如需詳細資訊，請參閱[AWS Batch API 動作支援的資源層級許可](batch-supported-iam-actions-resources.md)。若要指定所有資源，或如果特定 API 動作不支援 ARNs，請在 `Resource`元素中包含萬用字元 (\$1)。
```
"Resource": "*"
```
## 確認使用者具有必要的許可
在將 IAM 政策投入生產環境之前，請確定它授予使用者使用他們所需的特定 API 動作和資源的許可。
若要這樣做，請先建立用於測試的使用者，並將 IAM 政策連接至測試使用者。接著，以測試使用者的身分提出請求。您可以在主控台或 AWS CLI中提出測試請求。
**注意**
您也可以使用 [IAM 政策模擬器來測試您的政策](https://policysim.aws.amazon.com/home/index.jsp?#)。如需政策模擬器的詳細資訊，請參閱[《IAM 使用者指南》中的使用 IAM 政策模擬器](https://docs.aws.amazon.com/IAM/latest/UserGuide/policies_testing-policies.html)。 **
如果政策未授予使用者預期的許可，或授予過多許可，您可以視需要調整政策並重新測試。重新測試，直到您取得所要的結果。
**重要**
政策變更的散佈可能需要幾分鐘時間才能生效。因此，我們建議您在測試政策更新之前至少等待五分鐘。
如果授權檢查失敗，請求將傳回包含診斷資訊的編碼訊息。您可使用 `DecodeAuthorizationMessage` 動作將訊息解碼。如需詳細資訊，請參閱 *AWS Security Token Service API 參考*中的 [DecodeAuthorizationMessage](https://docs.aws.amazon.com/STS/latest/APIReference/API_DecodeAuthorizationMessage.html) 以及 *AWS CLI 命令參考*中的 [decode-authorization-message](https://docs.aws.amazon.com/cli/latest/reference/sts/decode-authorization-message.html)。
# 資源： 的政策範例 AWS Batch
您可以建立特定的 IAM 政策，以限制您帳戶中使用者可以存取的呼叫和資源。然後，您可以將這些政策連接到使用者。
當您將政策連接至使用者或使用者群組時，政策會允許或拒絕使用者對特定資源執行特定任務的許可。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[許可和政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/PermissionsAndPolicies.html)。如需如何管理和建立自訂 IAM 政策的說明，請參閱[管理 IAM 政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/ManagingPolicies.html)。
下列範例顯示政策陳述式，您可以使用這些陳述式來控制使用者擁有的 許可 AWS Batch。
**Topics**
+ [唯讀存取](iam-example-read-only.md)
+ [資源：限制使用者、映像、權限、角色](iam-example-job-def.md)
+ [限制任務提交](iam-example-restrict-job-submission.md)
+ [限制為任務佇列](iam-example-restrict-job-queue.md)
+ [當所有條件符合字串時拒絕動作](iam-example-job-def-deny-all-image-logdriver.md)
+ [資源：當任何條件索引鍵符合字串時拒絕動作](iam-example-job-def-deny-any-image-logdriver.md)
+ [使用 `batch:ShareIdentifier` 條件索引鍵](iam-example-share-identifier.md)
+ [使用 管理 SageMaker AI 資源 AWS Batch](iam-example-full-access-service-environment.md)
+ [依資源標籤限制任務提交](iam-example-restrict-job-submission-by-tags.md)
# 資源： 的唯讀存取 AWS Batch
下列政策授予使用者使用名稱開頭為 `Describe`和 之所有 AWS Batch API 動作的許可`List`。
除非另一個陳述式授予他們執行此操作的許可，否則使用者沒有對資源執行任何動作的許可。根據預設，系統會拒絕他們使用 API 動作的許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:Describe*",
"batch:List*",
"batch:Get*"
],
"Resource": "*"
}
]
}
```
------
# 資源：僅限於 POSIX 使用者、Docker 映像、權限層級和任務提交時的角色
下列政策允許 POSIX 使用者管理自己的一組受限任務定義。
使用第一個和第二個陳述式來註冊和取消註冊名稱字首為 *JobDefA\$1* 的任何任務定義名稱。
第一個陳述式也使用條件式內容金鑰來限制任務定義內 `containerProperties` 的 POSIX 使用者、權限狀態，以及容器映像值。如需詳細資訊，請參閱《 *AWS Batch API 參考*》中的 [RegisterJobDefinition](https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html)。在此範例中，只有在 POSIX 使用者設定為 時，才能註冊任務定義`nobody`。特權旗標設定為 `false`。最後，映像在 Amazon ECR 儲存庫`myImage`中設定為 。
**重要**
Docker `uid` 會從容器映像內將 `user` 參數解析給該使用者。在大多數情況下，這可在容器映像內的 `/etc/passwd` 檔案中找到。您可以在任務定義和任何相關聯的 IAM 政策中使用直接`uid`值，以避免此名稱解析。 AWS Batch API 操作和 IAM `batch:User` 條件索引鍵都支援數值。
使用第三個陳述式來限制只能將特定角色限制為任務定義。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:RegisterJobDefinition"
],
"Resource": [
"arn:aws:batch:us-east-2:999999999999:job-definition/JobDefA_*"
],
"Condition": {
"StringEquals": {
"batch:User": [
"nobody"
],
"batch:Image": [
"999999999999.dkr.ecr.us-east-2.amazonaws.com/myImage"
]
},
"Bool": {
"batch:Privileged": "false"
}
}
},
{
"Effect": "Allow",
"Action": [
"batch:DeregisterJobDefinition"
],
"Resource": [
"arn:aws:batch:us-east-2:999999999999:job-definition/JobDefA_*"
]
},
{
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::999999999999:role/MyBatchJobRole"
]
}
]
}
```
------
# 資源：限制在提交任務時的任務定義字首
使用下列政策，以任何以 *JobDefA* 開頭的任務定義名稱，將任務提交至任何任務佇列。
**重要**
在限制任務提交的資源層級存取範圍時，您必須同時提供任務佇列和任務定義資源類型。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:SubmitJob"
],
"Resource": [
"arn:aws:batch:us-east-2:111122223333:job-definition/JobDefA_*",
"arn:aws:batch:us-east-2:111122223333:job-queue/*"
]
}
]
}
```
------
# 資源：限制為任務佇列
使用下列政策，以任何任務定義名稱將任務提交至名為 **queue1** 的特定任務佇列。
**重要**
在限制任務提交的資源層級存取範圍時，您必須同時提供任務佇列和任務定義資源類型。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:SubmitJob"
],
"Resource": [
"arn:aws:batch:us-east-2:888888888888:job-definition/*",
"arn:aws:batch:us-east-2:888888888888:job-queue/queue1"
]
}
]
}
```
------
# 當所有條件符合字串時拒絕動作
當 `batch:Image`（容器映像 ID) 條件金鑰為 "*string1*" 且 `batch:LogDriver`（容器日誌驅動程式） 條件金鑰為 "*string2*." AWS Batch 時，下列政策會拒絕存取 [https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html](https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html) API 操作。當任務跨越多個容器時，例如多節點平行任務，容器可能會有不同的組態。如果在一個陳述式中評估多個條件索引鍵，則會使用`AND`邏輯合併。因此，如果多個條件索引鍵中的任何一個不符合容器，則不會套用該容器`Deny`的效果。反之，同一任務中的不同容器可能會遭到拒絕。
如需 的條件金鑰清單 AWS Batch，請參閱《*服務授權參考*》中的 [的條件金鑰 AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-policy-keys)。除了 之外`batch:ShareIdentifier`，所有`batch`條件索引鍵都可以以此方式使用。`batch:ShareIdentifier` 條件索引鍵是為任務定義，而非任務定義。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:RegisterJobDefinition"
],
"Resource": [
"*"
]
},
{
"Effect": "Deny",
"Action": "batch:RegisterJobDefinition",
"Resource": "*",
"Condition": {
"StringEquals": {
"batch:Image": "string1",
"batch:LogDriver": "string2"
}
}
}
]
}
```
------
# 資源：當任何條件索引鍵符合字串時拒絕動作
當 `batch:Image`（容器映像 ID) 條件金鑰為 "*string1*" 或 `batch:LogDriver`（容器日誌驅動程式） 條件金鑰為 "*string2*" 時，下列政策會拒絕存取 [https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html](https://docs.aws.amazon.com/batch/latest/APIReference/API_RegisterJobDefinition.html) API 操作。當任務跨越多個容器時，例如多節點平行任務，容器可能會有不同的組態。如果在一個陳述式中評估多個條件索引鍵，則會使用`AND`邏輯合併。因此，如果多個條件索引鍵中的任何一個不符合容器，則不會套用該容器`Deny`的效果。反之，同一任務中的不同容器可能會遭到拒絕。
如需 的條件金鑰清單 AWS Batch，請參閱*《服務授權參考*》中的 [的條件金鑰 AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html#awsbatch-policy-keys)。除了 之外`batch:ShareIdentifier`，所有`batch`條件索引鍵都可以以此方式使用。(`batch:ShareIdentifier`條件索引鍵是為任務定義，而非任務定義。)
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:RegisterJobDefinition"
],
"Resource": [
"*"
]
},
{
"Effect": "Deny",
"Action": [
"batch:RegisterJobDefinition"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"batch:Image": [
"string1"
]
}
}
},
{
"Effect": "Deny",
"Action": [
"batch:RegisterJobDefinition"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"batch:LogDriver": [
"string2"
]
}
}
}
]
}
```
------
# 資源：使用 `batch:ShareIdentifier` 條件索引鍵
使用下列政策，將使用任務`jobDefA`定義的任務提交至具有`lowCpu`共用識別符`jobqueue1`的任務佇列。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:SubmitJob"
],
"Resource": [
"arn:aws:batch:us-east-2:555555555555:job-definition/JobDefA",
"arn:aws:batch:us-east-2:555555555555:job-queue/jobqueue1"
],
"Condition": {
"StringEquals": {
"batch:ShareIdentifier": [
"lowCpu"
]
}
}
}
]
}
```
------
# 使用 管理 SageMaker AI 資源 AWS Batch
此政策允許 AWS Batch 管理 SageMaker AI 資源。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:*"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": "arn:aws:iam::*:role/*AWSServiceRoleForAWSBatchWithSagemaker",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "sagemaker-queuing.batch.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": "iam:PassRole",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"sagemaker.amazonaws.com"
]
}
}
}
]
}
```
------
# 資源：依任務定義和任務佇列上的資源標籤限制任務提交
只有在任務佇列具有 標籤`Environment=dev`且任務定義具有 標籤 時，才能使用下列政策來提交任務`Project=calc`。此政策示範如何在任務提交期間使用資源標籤來控制對 AWS Batch 資源的存取。
**重要**
使用評估任務定義資源標籤的政策提交任務時，您必須使用任務定義修訂格式 () 提交任務`job-definition:revision`。如果您在未指定修訂的情況下提交任務，將不會評估任務定義標籤，這可能會繞過您預期的存取控制。資源 ARN 中的 `*:*` 模式會強制執行提交必須包含修訂，確保標籤政策一律有效套用。
此政策使用兩個不同的陳述式，因為它會將不同的標籤條件套用至不同的資源類型。在限制任務提交的資源層級存取範圍時，您必須同時提供任務佇列和任務定義資源類型。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "batch:SubmitJob",
"Resource": "arn:aws:batch:*:*:job-queue/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Environment": "dev"
}
}
},
{
"Effect": "Allow",
"Action": "batch:SubmitJob",
"Resource": "arn:aws:batch:*:*:job-definition/*:*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Project": "calc"
}
}
}
]
}
```
# Resource： AWS Batch managed 政策
AWS Batch 提供可連接到使用者的受管政策。此政策提供使用 AWS Batch 資源和 API 操作的許可。您可以直接套用此政策，或用它做為起點來建立您自己的政策。如需這些政策中提及的每個 API 操作的詳細資訊，請參閱 *AWS Batch API 參考*中的[動作](https://docs.aws.amazon.com/batch/latest/APIReference/API_Operations.html)。
## AWSBatchFullAccess
此政策允許完整管理員存取 AWS Batch。
若要檢視政策的 JSON，請參閱《 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html)》中的 [AWSBatchFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBatchFullAccess.html)。
# AWS Batch IAM 執行角色
執行角色會授予 Amazon ECS 容器和 AWS Fargate 代理程式代表您進行 AWS API 呼叫的許可。
**注意**
Amazon ECS 容器代理程式 1.16.0 版及更新版本支援執行角色。
IAM 執行角色是必要的，視您的任務需求而定。您可以針對與您的帳戶相關聯的不同用途和服務，擁有多個執行角色。
**注意**
如需 Amazon ECS 執行個體角色的相關資訊，請參閱 [Amazon ECS 執行個體角色](instance_IAM_role.md)。如需服務角色的相關資訊，請參閱 [AWS Batch 如何使用 IAM](security_iam_service-with-iam.md)。
Amazon ECS 提供 `AmazonECSTaskExecutionRolePolicy`受管政策。此政策包含上述常見使用案例的必要許可。對於以下概述的特殊使用案例，可能需要將內嵌政策新增至執行角色。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ecr:GetAuthorizationToken",
"ecr:BatchCheckLayerAvailability",
"ecr:GetDownloadUrlForLayer",
"ecr:BatchGetImage",
"logs:CreateLogStream",
"logs:PutLogEvents"
],
"Resource": "*"
}
]
}
```
------
# AWS Batch API 動作支援的資源層級許可
資源*層級許可*一詞是指能夠指定允許使用者在其中執行動作的資源。 AWS Batch 對資源層級許可有部分支援。對於某些 AWS Batch 動作，您可以根據必須符合的條件，控制允許使用者使用這些動作的時間。您也可以根據允許使用者使用的特定資源來控制 。例如，您可以授予使用者提交任務的許可，但僅限特定任務佇列，且僅能藉由特定的任務定義來達成。
如需 AWS Batch 定義的動作和資源類型的詳細資訊，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*[AWS Batch](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsbatch.html)》中的適用於 的動作、資源和條件金鑰。
# 教學課程：建立 IAM 執行角色
如果您的帳戶還沒有 IAM 執行角色，請使用下列步驟來建立角色。
1. 在以下網址開啟 IAM 主控台：[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)。
1. 在導覽窗格中，選擇**角色**。
1. 選擇 **Create Role** (建立角色)。
1. 針對**信任的實體類型**，選擇** AWS 服務**。
1. 針對**服務或使用案例**，選擇 **Elastic Container Service**。然後再次選擇**彈性容器服務任務**。
1. 選擇**下一步**。
1. 針對**許可政策**，搜尋 **AmazonECSTaskExecutionRolePolicy**。
1. 選擇 **AmazonECSTaskExecutionRolePolicy** 政策左側的核取方塊，然後選擇**下一步**。
1. 針對**角色名稱**，輸入 `ecsTaskExecutionRole`，然後選擇**建立角色**。
# 教學課程：檢查 IAM 執行角色
使用下列程序來檢查您的帳戶是否已有 IAM 執行角色，並視需要連接 受管 IAM 政策。
1. 在以下網址開啟 IAM 主控台：[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)。
1. 在導覽窗格中，選擇**角色**。
1. 搜尋 `ecsTaskExecutionRole` 的角色清單。如果您找不到角色，請參閱 [教學課程：建立 IAM 執行角色](create-execution-role.md)。如果您找到角色，請選擇角色以檢視連接的政策。
1. 在**許可**索引標籤上，確認 **AmazonECSTaskExecutionRolePolicy** 受管政策已連接至角色。如果連接政策，您的執行角色已正確設定。如未連接，請按照以下子步驟連接政策。
1. 選擇**新增許可**，然後選擇**連接政策**。
1. 搜尋 **AmazonECSTaskExecutionRolePolicy**。
1. 勾選 **AmazonECSTaskExecutionRolePolicy** 政策左側的方塊，然後選擇**連接政策**。
1. 選擇 **Trust relationships (信任關係)**。
1. 確認信任關係包含下列政策。如果信任關係符合以下政策，則角色已正確設定。如果信任關係不相符，請選擇**編輯信任政策**，輸入以下內容，然後選擇**更新政策**。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "",
"Effect": "Allow",
"Principal": {
"Service": "ecs-tasks.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
------
# 使用 的服務連結角色 AWS Batch
AWS Batch use AWS Identity and Access Management (IAM) [ 服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 的唯一 IAM 角色類型 AWS Batch。服務連結角色由 預先定義， AWS Batch 並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。
AWS Batch 使用兩種不同的服務連結角色：
+ [AWSServiceRoleForBatch](using-service-linked-roles-batch-general.md) - 用於包括運算環境 AWS Batch 的操作。
+ [AWSServiceRoleForAWSBatchWithSagemaker](using-service-linked-roles-batch-sagemaker.md) - 適用於 SageMaker AI 工作負載管理和佇列。
**Topics**
+ [使用 的角色 AWS Batch](using-service-linked-roles-batch-general.md)
+ [將 的角色 AWS Batch 與 SageMaker AI 搭配使用](using-service-linked-roles-batch-sagemaker.md)
# 使用 的角色 AWS Batch
AWS Batch use AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 的唯一 IAM 角色類型 AWS Batch。服務連結角色由 預先定義， AWS Batch 並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。
服務連結角色可讓您更 AWS Batch 輕鬆地設定，因為您不必手動新增必要的許可。 AWS Batch 會定義其服務連結角色的許可，除非另有定義，否則 AWS Batch 只能擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。
**注意**
執行下列其中一項操作來指定 AWS Batch 運算環境的服務角色。
使用服務角色的空字串。這可讓 AWS Batch 建立服務角色。
以下列格式指定服務角色：`arn:aws:iam::account_number:role/aws-service-role/batch.amazonaws.com/AWSServiceRoleForBatch`。
如需詳細資訊，請參閱 AWS Batch 《 使用者指南[不正確的角色名稱或 ARN](invalid_compute_environment.md#invalid_service_role_arn)》中的 。
您必須先刪除服務連結角色的相關資源，才能將其刪除。這可保護您的 AWS Batch 資源，因為您不會不小心移除存取資源的許可。
如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並在**服務連結角色**欄中尋找具有**是**的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## 的服務連結角色許可 AWS Batch
AWS Batch 使用名為 **AWSServiceRoleForBatch** 的服務連結角色 – 允許 代表您 AWS Batch 建立和管理 AWS 資源。
AWSServiceRoleForBatch 服務連結角色信任下列服務擔任該角色：
+ `batch.amazonaws.com`
名為 [BatchServiceRolePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-BatchServiceRolePolicy) 的角色許可政策允許 對指定的資源 AWS Batch 完成下列動作：
+ `autoscaling` – 允許 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 資源。為大多數運算環境 AWS Batch 建立和管理 Amazon EC2 Auto Scaling 群組。
+ `ec2` – 允許 AWS Batch 控制 Amazon EC2 執行個體的生命週期，以及建立和管理啟動範本和標籤。 AWS Batch 會建立和管理某些 EC2 Spot 運算環境的 EC2 Spot 機群請求。
+ `ecs` - 允許 AWS Batch 為任務執行建立和管理 Amazon ECS 叢集、任務定義和任務。
+ `eks` - 允許 AWS Batch 描述驗證的 Amazon EKS 叢集資源。
+ `iam` - 允許 AWS Batch 驗證擁有者提供的角色並將其傳遞給 Amazon EC2、Amazon EC2 Auto Scaling 和 Amazon ECS。
+ `logs` – 允許 AWS Batch 建立和管理 AWS Batch 任務的日誌群組和日誌串流。
您必須設定許可，以允許您的使用者、群組或角色建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 為 建立服務連結角色 AWS Batch
您不需要手動建立服務連結角色，當您在 AWS 管理主控台、 AWS CLI或 AWS API 中建立運算環境時， AWS Batch 會為您建立服務連結角色。
**重要**
此服務連結角色可以顯示在您的帳戶，如果您於其他服務中完成一項動作時，可以使用支援此角色的功能。如果您在 2021 年 3 月 10 日之前使用該 AWS Batch 服務，當服務開始支援服務連結角色時， 會在您的帳戶中 AWS Batch 建立 AWSServiceRoleForBatch 角色。若要進一步了解，請參閱[我的 中出現的新角色 AWS 帳戶](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared)。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您建立運算環境時， 會再次為您 AWS Batch 建立服務連結角色。
## 編輯 的服務連結角色 AWS Batch
AWS Batch 不允許您編輯 AWSServiceRoleForBatch 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
**允許 IAM 實體編輯 AWSServiceRoleForBatch 服務連結角色的描述**
將下列陳述式新增至許可政策。這可讓 IAM 實體編輯服務連結角色的描述。
```
{
"Effect": "Allow",
"Action": [
"iam:UpdateRoleDescription"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/batch.amazonaws.com/AWSServiceRoleForBatch",
"Condition": {"StringLike": {"iam:AWSServiceName": "batch.amazonaws.com"}}
}
```
## 刪除 的服務連結角色 AWS Batch
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，務必清除您的服務連結角色，之後才能以手動方式將其刪除。
**允許 IAM 實體刪除 AWSServiceRoleForBatch 服務連結角色**
將下列陳述式新增至許可政策。這可讓 IAM 實體刪除服務連結角色。
```
{
"Effect": "Allow",
"Action": [
"iam:DeleteServiceLinkedRole",
"iam:GetServiceLinkedRoleDeletionStatus"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/batch.amazonaws.com/AWSServiceRoleForBatch",
"Condition": {"StringLike": {"iam:AWSServiceName": "batch.amazonaws.com"}}
}
```
### 清除服務連結角色
在您可以使用 IAM 刪除服務連結角色之前，您必須先確認角色沒有作用中工作階段，並刪除單一分割區中所有 AWS 區域中使用該角色的所有 AWS Batch 運算環境。
**檢查服務連結角色是否有作用中工作階段**
1. 前往 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 開啟 IAM 主控台。
1. 在導覽窗格中，選擇**角色**，然後選擇 AWSServiceRoleForBatch 名稱 （而非核取方塊）。
1. 在 **Summary** (摘要) 頁面上，選擇 **Access Advisor** (存取 Advisor)，然後檢閱服務連結角色的近期活動。
**注意**
如果您不知道 AWS Batch 是否使用 AWSServiceRoleForBatch 角色，您可以嘗試刪除該角色。如果服務正在使用 角色，則該角色將無法刪除。您可以檢視正在使用角色的區域。如果服務正在使用該角色，您必須先等到工作階段結束，才能刪除該角色。您無法撤銷服務連結角色的工作階段。
**移除 AWSServiceRoleForBatch 服務連結角色所使用的 AWS Batch 資源**
您必須刪除所有 AWS 區域中使用 AWSServiceRoleForBatch 角色的所有 AWS Batch 運算環境，才能刪除 AWSServiceRoleForBatch 角色。
1. 在 https：//[https://console.aws.amazon.com/batch/](https://console.aws.amazon.com/batch/) 開啟 AWS Batch 主控台。
1. 從導覽列中選取要使用的「區域」。
1. 在導覽窗格中，選擇 **Compute environments** (運算環境)。
1. 選取運算環境。
1. 選擇**停用**。等待**狀態**變更為 **DISABLED**。
1. 選取運算環境。
1. 選擇 **刪除**。選擇刪除運算環境，確認您想要**刪除運算環境**。
1. 針對在所有區域中使用服務連結角色的所有運算環境，重複步驟 1–7。
### 在 IAM 中刪除服務連結角色 （主控台）
您可以使用 IAM 主控台刪除服務連結角色。
**刪除服務連結角色 (主控台)**
1. 登入 AWS 管理主控台 並開啟位於 https：//[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 的 IAM 主控台。
1. 在 IAM 主控台的導覽窗格中，選擇**角色**。然後選取 AWSServiceRoleForBatch 旁的核取方塊，而非名稱或資料列本身。
1. 選擇 **Delete role** (刪除角色)。
1. 在確認對話方塊中，檢閱服務上次存取資料，以顯示每個所選取角色上次存取 AWS 服務的時間。這可協助您確認角色目前是否作用中。如果您想要繼續進行，請選擇 **Yes, Delete (是，刪除)** 來提交服務連結角色以進行刪除。
1. 查看 IAM 主控台通知，監視服務連結角色刪除的進度。因為 IAM 服務連結角色刪除不同步，所以在您提交角色進行刪除之後，刪除任務可能會成功或失敗。
+ 如果任務成功，則會從清單中移除角色，而且成功通知會出現在頁面頂端。
+ 如果任務失敗，您可以從通知中選擇 **View details (檢視詳細資訊)** 或 **View Resources (檢視資源)**，以了解刪除失敗的原因。如果刪除因角色使用服務資源而失敗，則服務傳回該資訊時，通知會包含資源清單。您接著可以[清除資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-review-before-delete)，並重新提交刪除。
**注意**
根據服務所傳回的資訊，您可能需要重複此程序數次。例如，您的服務連結角色可能會使用六個資源，而且您的服務可能傳回其中五項的相關資訊。如果您清除五個資源，並重新提交刪除角色，則刪除會失敗，而且服務會報告還有一個資源。服務可能會傳回所有資源、其中一些資源，或未報告任何資源。
+ 如果任務失敗，而且通知未包含資源清單，則服務可能未傳回該資訊。若要瞭解如何清除該服務的資源，請參閱[使用 IAM 的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。請在表格中找到您的服務，然後選擇 **Yes** (是) 連結，檢視該服務的服務連結角色文件。
### 在 IAM 中刪除服務連結角色 (AWS CLI)
您可以從 使用 IAM 命令 AWS Command Line Interface 來刪除服務連結角色。
**刪除服務連結角色 (CLI)**
1. 因為無法刪除正在使用或具有相關聯資源的服務連結角色，所以您必須提交刪除要求。如果不符合這些條件，則可以拒絕該請求。您必須從回應中擷取 `deletion-task-id`，以檢查刪除任務的狀態。輸入下列命令，以提交服務連結角色刪除要求：
```
$ aws iam delete-service-linked-role --role-name AWSServiceRoleForBatch
```
1. 使用下列命令，以檢查刪除任務的狀態：
```
$ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id
```
刪除任務的狀態可以是 `NOT_STARTED`、`IN_PROGRESS`、`SUCCEEDED` 或 `FAILED`。如果刪除失敗，則呼叫會傳回失敗原因，以進行疑難排解。如果刪除因角色使用服務資源而失敗，則服務傳回該資訊時，通知會包含資源清單。您接著可以[清除資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-review-before-delete)，並重新提交刪除。
**注意**
根據服務所傳回的資訊，您可能需要重複此程序數次。例如，您的服務連結角色可能會使用六個資源，而且您的服務可能傳回其中五項的相關資訊。如果您清除五個資源，並重新提交刪除角色，則刪除會失敗，而且服務會報告還有一個資源。服務可能會傳回所有資源，其中一些資源。或者，它可能不會報告任何資源。若要了解如何清理未報告任何資源之服務的資源，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。請在表格中找到您的服務，然後選擇 **Yes** (是) 連結，檢視該服務的服務連結角色文件。
### 在 IAM (AWS API) 中刪除服務連結角色
您可以使用 IAM API 刪除服務連結角色。
**刪除服務連結角色 (API)**
1. 如需提交服務連結名單的刪除要求，請呼叫 [DeleteServiceLinkedRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteServiceLinkedRole.html)。在請求中，指定 AWSServiceRoleForBatch 角色名稱。
因為無法刪除正在使用或具有相關聯資源的服務連結角色，所以您必須提交刪除要求。如果不符合這些條件，則可以拒絕該請求。您必須從回應中擷取 `DeletionTaskId`，以檢查刪除任務的狀態。
1. 若要檢查刪除的狀態，請呼叫 [GetServiceLinkedRoleDeletionStatus](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetServiceLinkedRoleDeletionStatus.html)。在請求中，指定 `DeletionTaskId`。
刪除任務的狀態可以是 `NOT_STARTED`、`IN_PROGRESS`、`SUCCEEDED` 或 `FAILED`。如果刪除失敗，則呼叫會傳回失敗原因，以進行疑難排解。如果刪除因角色使用服務資源而失敗，則服務傳回該資訊時，通知會包含資源清單。您接著可以[清除資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-review-before-delete)，並重新提交刪除。
**注意**
根據服務所傳回的資訊，您可能需要重複此程序數次。例如，您的服務連結角色可能會使用六個資源，而且您的服務可能傳回其中五項的相關資訊。如果您清除五個資源，並重新提交刪除角色，則刪除會失敗，而且服務會報告還有一個資源。服務可能會傳回所有資源、其中一些資源，或未報告任何資源。若要瞭解如何清除未報告任何資源之服務的資源，請參閱[使用 IAM 的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。請在表格中找到您的服務，然後選擇 **Yes** (是) 連結，檢視該服務的服務連結角色文件。
## AWS Batch 服務連結角色支援的區域
AWS Batch 支援在所有提供服務的區域中使用服務連結角色。如需詳細資訊，請參閱 [AWS Batch 端點](https://docs.aws.amazon.com/general/latest/gr/batch.html#batch_region)。
# 將 的角色 AWS Batch 與 SageMaker AI 搭配使用
AWS Batch use AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 的唯一 IAM 角色類型 AWS Batch。服務連結角色由 預先定義， AWS Batch 並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。
服務連結角色可讓您更 AWS Batch 輕鬆地設定，因為您不必手動新增必要的許可。 AWS Batch 會定義其服務連結角色的許可，除非另有定義，否則 AWS Batch 只能擔任其角色。定義的許可包括信任政策和許可政策，且該許可政策無法附加至其他 IAM 實體。
您必須先刪除服務連結角色的相關資源，才能將其刪除。這可保護您的 AWS Batch 資源，因為您不會不小心移除存取資源的許可。
如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並在**服務連結角色**欄中尋找具有**是**的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## 的服務連結角色許可 AWS Batch
AWS Batch 使用名為 **AWSServiceRoleForAWSBatchWithSagemaker** 的服務連結角色 – 允許 代表您 AWS Batch 佇列和管理 SageMaker 訓練任務。
AWSServiceRoleForAWSBatchWithSagemaker 服務連結角色信任下列服務擔任該角色：
+ `sagemaker-queuing.batch.amazonaws.com`
角色許可政策允許 對指定的資源 AWS Batch 完成下列動作：
+ `sagemaker` – 允許 AWS Batch 管理 SageMaker 訓練任務、轉換任務和其他 SageMaker AI 資源。
+ `iam:PassRole` – 允許 AWS Batch 將客戶定義的執行角色傳遞給 SageMaker AI 以進行任務執行。資源限制允許將角色傳遞至 SageMaker AI 服務。
您必須設定許可，以允許您的使用者、群組或角色建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
## 為 建立服務連結角色 AWS Batch
您不需要手動建立服務連結角色，當您在 AWS CLI、 AWS 管理主控台或 AWS API `CreateServiceEnvironment` 中使用 建立服務環境時， AWS Batch 會為您建立服務連結角色。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您使用 建立服務環境時`CreateServiceEnvironment`， 會再次為您 AWS Batch 建立服務連結角色。
若要檢視政策的 JSON，請參閱《 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/about-managed-policy-reference.html)》中的 [AWSBatchServiceRolePolicyForSageMaker](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBatchServiceRolePolicyForSageMaker.html)。
## 編輯 的服務連結角色 AWS Batch
AWS Batch 不允許您編輯 AWSServiceRoleForAWSBatchWithSagemaker 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 刪除 的服務連結角色 AWS Batch
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，務必清除您的服務連結角色，之後才能以手動方式將其刪除。
### 清除服務連結角色
在您可以使用 IAM 刪除服務連結角色之前，您必須先確認角色沒有作用中的工作階段，並刪除單一分割區中所有 AWS 區域中使用該角色的所有服務環境。
**檢查服務連結角色是否有作用中工作階段**
1. 前往 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 開啟 IAM 主控台。
1. 在導覽窗格中，選擇**角色**，然後選擇 AWSServiceRoleForAWSBatchWithSagemaker 名稱 （而非核取方塊）。
1. 在 **Summary** (摘要) 頁面上，選擇 **Access Advisor** (存取 Advisor)，然後檢閱服務連結角色的近期活動。
**注意**
如果您不知道 AWS Batch 是否使用 AWSServiceRoleForAWSBatchWithSagemaker 角色，您可以嘗試刪除該角色。如果服務正在使用 角色，則該角色將無法刪除。您可以檢視正在使用角色的區域。如果服務正在使用該角色，您必須先等到工作階段結束，才能刪除該角色。您無法撤銷服務連結角色的工作階段。
**移除 AWSServiceRoleForAWSBatchWithSagemaker 服務連結角色所使用的 AWS Batch 資源**
您必須取消所有任務佇列與所有服務環境的關聯，然後必須先刪除所有 AWS 區域中使用 AWSServiceRoleForAWSBatchWithSagemaker 角色的所有服務環境，才能刪除 AWSServiceRoleForAWSBatchWithSagemaker 角色。
1. 在 https：//[https://console.aws.amazon.com/batch/](https://console.aws.amazon.com/batch/) 開啟 AWS Batch 主控台。
1. 從導覽列中選取要使用的「區域」。
1. 在導覽窗格中，選擇**環境**，然後選擇**服務環境**。
1. 選取所有**服務環境**。
1. 選擇**停用**。等待**狀態**變更為 **DISABLED**。
1. 選取服務環境。
1. 選擇 **刪除**。選擇刪除服務環境，確認您想要**刪除服務環境**。
1. 針對在所有區域中使用服務連結角色的所有服務環境，重複步驟 1–7。
### 在 IAM 中刪除服務連結角色 （主控台）
您可以使用 IAM 主控台刪除服務連結角色。
**刪除服務連結角色 (主控台)**
1. 登入 AWS 管理主控台 並開啟位於 https：//[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 的 IAM 主控台。
1. 在 IAM 主控台的導覽窗格中，選擇**角色**。然後選取 AWSServiceRoleForAWSBatchWithSagemaker 旁的核取方塊，而非名稱或資料列本身。
1. 選擇 **Delete role** (刪除角色)。
1. 在確認對話方塊中，檢閱服務上次存取資料，以顯示每個所選取角色上次存取 AWS 服務的時間。這可協助您確認角色目前是否作用中。如果您想要繼續進行，請選擇 **Yes, Delete (是，刪除)** 來提交服務連結角色以進行刪除。
1. 查看 IAM 主控台通知，監視服務連結角色刪除的進度。因為 IAM 服務連結角色刪除不同步，所以在您提交角色進行刪除之後，刪除任務可能會成功或失敗。
+ 如果任務成功，則會從清單中移除角色，而且成功通知會出現在頁面頂端。
+ 如果任務失敗，您可以從通知中選擇 **View details (檢視詳細資訊)** 或 **View Resources (檢視資源)**，以了解刪除失敗的原因。如果刪除因角色使用服務資源而失敗，則服務傳回該資訊時，通知會包含資源清單。您接著可以[清除資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-review-before-delete)，並重新提交刪除。
**注意**
根據服務所傳回的資訊，您可能需要重複此程序數次。例如，您的服務連結角色可能會使用六個資源，而且您的服務可能傳回其中五項的相關資訊。如果您清除五個資源，並重新提交刪除角色，則刪除會失敗，而且服務會報告還有一個資源。服務可能會傳回所有資源、其中一些資源，或未報告任何資源。
+ 如果任務失敗，而且通知未包含資源清單，則服務可能未傳回該資訊。若要瞭解如何清除該服務的資源，請參閱[使用 IAM 的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。請在表格中找到您的服務，然後選擇 **Yes** (是) 連結，檢視該服務的服務連結角色文件。
### 在 IAM 中刪除服務連結角色 (AWS CLI)
您可以從 使用 IAM 命令 AWS Command Line Interface 來刪除服務連結角色。
**刪除服務連結角色 (CLI)**
1. 因為無法刪除正在使用或具有相關聯資源的服務連結角色，所以您必須提交刪除要求。如果不符合這些條件，則可以拒絕該請求。您必須從回應中擷取 `deletion-task-id`，以檢查刪除任務的狀態。輸入下列命令，以提交服務連結角色刪除要求：
```
$ aws iam delete-service-linked-role --role-name AWSServiceRoleForAWSBatchWithSagemaker
```
1. 使用下列命令，以檢查刪除任務的狀態：
```
$ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id
```
刪除任務的狀態可以是 `NOT_STARTED`、`IN_PROGRESS`、`SUCCEEDED` 或 `FAILED`。如果刪除失敗，則呼叫會傳回失敗原因，以進行疑難排解。如果刪除因角色使用服務資源而失敗，則服務傳回該資訊時，通知會包含資源清單。您接著可以[清除資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-review-before-delete)，並重新提交刪除。
**注意**
根據服務所傳回的資訊，您可能需要重複此程序數次。例如，您的服務連結角色可能會使用六個資源，而且您的服務可能傳回其中五項的相關資訊。如果您清除五個資源，並重新提交刪除角色，則刪除會失敗，而且服務會報告還有一個資源。服務可能會傳回所有資源，其中一些資源。或者，它可能不會報告任何資源。若要了解如何清除未報告任何資源之服務的資源，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。請在表格中找到您的服務，然後選擇 **Yes** (是) 連結，檢視該服務的服務連結角色文件。
### 在 IAM (AWS API) 中刪除服務連結角色
您可以使用 IAM API 刪除服務連結角色。
**刪除服務連結角色 (API)**
1. 如需提交服務連結名單的刪除要求，請呼叫 [DeleteServiceLinkedRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteServiceLinkedRole.html)。在請求中，指定 AWSServiceRoleForAWSBatchWithSagemaker 角色名稱。
因為無法刪除正在使用或具有相關聯資源的服務連結角色，所以您必須提交刪除要求。如果不符合這些條件，則可以拒絕該請求。您必須從回應中擷取 `DeletionTaskId`，以檢查刪除任務的狀態。
1. 若要檢查刪除的狀態，請呼叫 [GetServiceLinkedRoleDeletionStatus](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetServiceLinkedRoleDeletionStatus.html)。在請求中，指定 `DeletionTaskId`。
刪除任務的狀態可以是 `NOT_STARTED`、`IN_PROGRESS`、`SUCCEEDED` 或 `FAILED`。如果刪除失敗，則呼叫會傳回失敗原因，以進行疑難排解。如果刪除因角色使用服務資源而失敗，則服務傳回該資訊時，通知會包含資源清單。您接著可以[清除資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-review-before-delete)，並重新提交刪除。
**注意**
根據服務所傳回的資訊，您可能需要重複此程序數次。例如，您的服務連結角色可能會使用六個資源，而且您的服務可能傳回其中五項的相關資訊。如果您清除五個資源，並重新提交刪除角色，則刪除會失敗，而且服務會報告還有一個資源。服務可能會傳回所有資源、其中一些資源，或未報告任何資源。若要瞭解如何清除未報告任何資源之服務的資源，請參閱[使用 IAM 的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。請在表格中找到您的服務，然後選擇 **Yes** (是) 連結，檢視該服務的服務連結角色文件。
## AWS Batch 服務連結角色支援的區域
AWS Batch 支援在所有提供服務的區域中使用服務連結角色。如需詳細資訊，請參閱 [AWS Batch 端點](https://docs.aws.amazon.com/general/latest/gr/batch.html#batch_region)。
# Amazon ECS 執行個體角色
AWS Batch 運算環境會填入 Amazon ECS 容器執行個體。它們會在本機執行 Amazon ECS 容器代理程式。Amazon ECS 容器代理程式會代表您呼叫各種 AWS API 操作。因此，執行代理程式的容器執行個體需要這些服務的 IAM 政策和角色，才能識別代理程式屬於您。您必須建立 IAM 角色和執行個體描述檔，容器執行個體才能在啟動時使用。否則，您無法建立運算環境，並在其中啟動容器執行個體。此要求適用於使用或不使用 Amazon 提供的 Amazon ECS 最佳化 AMI 啟動的容器執行個體。如需詳細資訊，請參閱*《Amazon Elastic Container Service 開發人員指南》*中的 [Amazon ECS 執行個體角色](#instance_IAM_role)。
**Topics**
+ [檢查您帳戶的 Amazon ECS 執行個體角色](batch-check-ecsinstancerole.md)
# 檢查您帳戶的 Amazon ECS 執行個體角色
Amazon ECS 執行個體角色和執行個體描述檔會在主控台初次執行體驗中自動為您建立。不過，您可以依照下列步驟來檢查您的帳戶是否已有 Amazon ECS 執行個體角色和執行個體描述檔。下列步驟也涵蓋如何連接 受管 IAM 政策。
**教學課程：在 IAM 主控台`ecsInstanceRole`中檢查 。**
1. 在以下網址開啟 IAM 主控台：[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)。
1. 在導覽窗格中，選擇**角色**。
1. 搜尋 `ecsInstanceRole` 的角色清單。如果角色不存在，請使用下列步驟來建立角色。
1. 選擇**建立角色**。
1. 對於 **Trusted entity type** (信任的實體類型)，請選擇 **AWS 服務**。
1. 針對**常用案例**，選擇 **EC2**。
1. 選擇**下一步**。
1. 針對**許可政策**，搜尋 **AmazonEC2ContainerServiceforEC2Role**。
1. 選擇 **AmazonEC2ContainerServiceforEC2Role** 旁的核取方塊，然後選擇**下一步**。
1. 針對 **Role Name (角色名稱)**，輸入 `ecsInstanceRole`，然後選擇 **Create Role (建立角色)**。
**注意**
如果您使用 AWS 管理主控台 為 Amazon EC2 建立角色，主控台會使用與該角色相同的名稱建立執行個體描述檔。
或者，您可以使用 AWS CLI 來建立 IAM `ecsInstanceRole` 角色。下列範例會建立具有信任政策和 AWS 受管政策的 IAM 角色。
**教學課程：建立 IAM 角色和執行個體描述檔 (AWS CLI)**
1. 建立下列信任政策，並將其儲存在名為 的文字檔案中`ecsInstanceRole-role-trust-policy.json`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": { "Service": "ec2.amazonaws.com"},
"Action": "sts:AssumeRole"
}
]
}
```
------
1. 使用 [create-role](https://docs.aws.amazon.com/cli/latest/reference/iam/create-role.html) 命令來建立`ecsInstanceRole`角色。在 `assume-role-policy-document` 參數中指定信任政策檔案位置。
```
$ aws iam create-role \
--role-name ecsInstanceRole \
--assume-role-policy-document file://ecsInstanceRole-role-trust-policy.json
```
1. 使用 [create-instance-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/create-instance-profile.html) 命令來建立名為 的執行個體描述檔`ecsInstanceRole`。
**注意**
您需要在 和 AWS API 中將角色 AWS CLI 和執行個體描述檔建立為個別動作。
```
$ aws iam create-instance-profile --instance-profile-name ecsInstanceRole
```
以下是回應範例。
```
{
"InstanceProfile": {
"Path": "/",
"InstanceProfileName": "ecsInstanceRole",
"InstanceProfileId": "AIPAT46P5RDITREXAMPLE",
"Arn": "arn:aws:iam::123456789012:instance-profile/ecsInstanceRole",
"CreateDate": "2022-06-30T23:53:34.093Z",
"Roles": [], }
}
```
1. 使用 [ add-role-to-instance-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/add-role-to-instance-profile.html) 命令，將`ecsInstanceRole`角色新增至`ecsInstanceRole`執行個體描述檔。
```
aws iam add-role-to-instance-profile \
--role-name ecsInstanceRole --instance-profile-name ecsInstanceRole
```
1. 使用 [attach-role-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/attach-role-policy.html) 命令將`AmazonEC2ContainerServiceforEC2Role` AWS 受管政策連接至`ecsInstanceRole`角色。
```
$ aws iam attach-role-policy \
--policy-arn arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role \
--role-name ecsInstanceRole
```
# Amazon EC2 Spot 機群角色
如果您建立使用 Amazon EC2 Spot 機群執行個體的受管運算環境，則必須建立 `AmazonEC2SpotFleetTaggingRole`政策。此政策授予 Spot Fleet 代表您啟動、標記和終止執行個體的許可。在您的 Spot Fleet 請求中指定角色。您還必須擁有 Amazon EC2**AWSServiceRoleForEC2Spot** 服務連結角色。 **AWSServiceRoleForEC2SpotFleet** 使用下列指示來建立所有這些角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html)和[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
**Topics**
+ [在 中建立 Amazon EC2 Spot 機群角色 AWS 管理主控台](spot-fleet-roles-console.md)
+ [使用 建立 Amazon EC2 Spot 機群角色 AWS CLI](spot-fleet-roles-cli.md)
# 在 中建立 Amazon EC2 Spot 機群角色 AWS 管理主控台
**為 `AmazonEC2SpotFleetTaggingRole` Amazon EC2 Spot Fleet 建立 IAM 服務連結角色**
1. 前往 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 開啟 IAM 主控台。
1. 針對**存取管理**，選擇**角色**、
1. 針對**角色**，選擇**建立角色**。
1. 從**選取信任實體****類型的信任實體**中，選擇 **AWS 服務**。
1. 對於**其他的使用案例 AWS 服務**，請選擇 **EC2**，然後選擇 **EC2 - Spot 機群標記**。
1. 選擇**下一步**。
1. 從**政策名稱**的**許可政策**中，驗證 `AmazonEC2SpotFleetTaggingRole`。
1. 選擇**下一步**。
1. 針對**名稱、檢閱和建立**：
1. 針對**角色名稱**，輸入名稱以識別角色。
1. 針對**描述**，輸入政策的簡短說明。
1. （選用） 對於**步驟 1：選取信任的實體**，選擇**編輯**以修改程式碼。
1. （選用） 對於**步驟 2：新增許可**，選擇**編輯**以修改程式碼。
1. （選用） 對於**新增標籤**，選擇**新增標籤**以將標籤新增至資源。
1. 選擇建**立角色**。
**注意**
過去，Amazon EC2 Spot Fleet 角色有兩個受管政策。
**AmazonEC2SpotFleetRole**：這是 Spot Fleet 角色的原始受管政策。不過，我們不再建議您將其與 搭配使用 AWS Batch。此政策不支援在運算環境中使用`AWSServiceRoleForBatch`服務連結角色所需的 Spot 執行個體標記。如果您先前已使用此政策建立 Spot Fleet 角色，請將新的建議政策套用至該角色。如需詳細資訊，請參閱[建立時未標記 Spot 執行個體](spot-instance-no-tag.md)。
**AmazonEC2SpotFleetTaggingRole**：此角色提供標記 Amazon EC2 Spot 執行個體的所有必要許可。使用此角色允許在 AWS Batch 運算環境中標記 Spot 執行個體。
# 使用 建立 Amazon EC2 Spot 機群角色 AWS CLI
**為您的 Spot Fleet 運算環境建立 **AmazonEC2SpotFleetTaggingRole** IAM 角色**
1. 使用 執行下列命令 AWS CLI。
```
$ aws iam create-role --role-name AmazonEC2SpotFleetTaggingRole \
--assume-role-policy-document '{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "",
"Effect": "Allow",
"Principal": {
"Service": "spotfleet.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}'
```
1. 若要將 **AmazonEC2SpotFleetTaggingRole** 受管 IAM 政策連接至您的 **AmazonEC2SpotFleetTaggingRole** 角色，請使用 執行下列命令 AWS CLI。
```
$ aws iam attach-role-policy \
--policy-arn \
arn:aws:iam::aws:policy/service-role/AmazonEC2SpotFleetTaggingRole \
--role-name \
AmazonEC2SpotFleetTaggingRole
```
**為 `AWSServiceRoleForEC2Spot` Amazon EC2 Spot 建立 IAM 服務連結角色**
**注意**
如果 `AWSServiceRoleForEC2Spot` IAM 服務連結角色已存在，您會看到類似以下的錯誤訊息。
```
An error occurred (InvalidInput) when calling the CreateServiceLinkedRole operation:
Service role name AWSServiceRoleForEC2Spot has been taken in this account, please try a different suffix.
```
+ 使用 執行下列命令 AWS CLI。
```
$ aws iam create-service-linked-role --aws-service-name spot.amazonaws.com
```
**為 `AWSServiceRoleForEC2SpotFleet` Amazon EC2 Spot Fleet 建立 IAM 服務連結角色**
**注意**
如果 `AWSServiceRoleForEC2SpotFleet` IAM 服務連結角色已存在，您會看到類似以下的錯誤訊息。
```
An error occurred (InvalidInput) when calling the CreateServiceLinkedRole operation:
Service role name AWSServiceRoleForEC2SpotFleet has been taken in this account, please try a different suffix.
```
+ 使用 執行下列命令 AWS CLI。
```
$ aws iam create-service-linked-role --aws-service-name spotfleet.amazonaws.com
```
# EventBridge IAM 角色
Amazon EventBridge 提供近乎即時的系統事件串流，描述 AWS 資源的變更。 AWS Batch 任務可作為 EventBridge 目標使用。利用可快速設定的簡單規則，匹配事件並提交 AWS Batch 任務以回應事件。在使用 EventBridge 規則和目標提交 AWS Batch 任務之前，EventBridge 必須具有代表您執行 AWS Batch 任務的許可。
**注意**
當您在 EventBridge 主控台中建立將 AWS Batch 佇列指定為目標的規則時，您可以建立此角色。如需範例演練，請參閱 [AWS Batch 任務做為 EventBridge 目標](batch-cwe-target.md)。您可以使用 IAM 主控台手動建立 EventBridge 角色。如需說明，請參閱《IAM 使用者指南》中的[使用自訂信任政策 （主控台） 建立角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-custom.html)。
EventBridge IAM 角色的信任關係必須提供`events.amazonaws.com`服務主體擔任角色的能力。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "",
"Effect": "Allow",
"Principal": {
"Service": "events.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
------
請確定連接至 EventBridge IAM 角色的政策允許 資源的`batch:SubmitJob`許可。在下列範例中， AWS Batch 提供 `AWSBatchServiceEventTargetRole`受管政策來提供這些許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"batch:SubmitJob"
],
"Resource": "*"
}
]
}
```
------
# 建立 Virtual Private Cloud
運算環境中的運算資源需要外部網路存取，才能與 AWS Batch 和 Amazon ECS 服務端點通訊。不過，您可能有想要在私有子網路中執行的任務。若要彈性地在公有或私有子網路中執行任務，請建立同時具有公有和私有子網路的 VPC。
您可以使用 Amazon Virtual Private Cloud (Amazon VPC) 在您定義的虛擬網路中啟動 AWS 資源。本主題提供 Amazon VPC 精靈的連結，以及要選取的選項清單。
## 建立 VPC
如需有關如何建立 Amazon VPC 的資訊，請參閱《Amazon [VPC 使用者指南》中的僅建立](https://docs.aws.amazon.com/vpc/latest/userguide/working-with-vpcs.html#create-vpc-vpc-only) *VPC*，並使用下表來決定要選取的選項。
| 選項 | Value |
| --- | --- |
| 要建立的資源 | 僅 VPC |
| 名稱 | 可以選擇為 VPC 提供名稱。 |
| IPv4 CIDR 區塊 | IPv4 CIDR 手動輸入 CIDR 區塊大小必須為介於 /16 和 /28 之間的大小。 |
| IPv6 CIDR 區塊 | 無 IPv6 CIDR 區塊 |
| 租用 | 預設 |
如需有關 Amazon VPC 的詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[什麼是 Amazon VPC？](https://docs.aws.amazon.com/vpc/latest/userguide/)。
## 後續步驟
建立 VPC 之後，請考慮下列後續步驟：
+ 如果您的公有和私有資源需要入站網路存取，則為其建立安全群組。如需詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[使用安全群組](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_SecurityGroups.html#working-with-security-groups)。
+ 建立 AWS Batch 受管運算環境，將運算資源啟動到您的新 VPC。如需詳細資訊，請參閱[建立運算環境](create-compute-environment.md)。如果您在 AWS Batch 主控台中使用運算環境建立精靈，您可以指定剛建立的 VPC，以及要啟動執行個體的公有或私有子網路。
+ 建立映射至新運算環境 AWS Batch 的任務佇列。如需詳細資訊，請參閱[建立任務佇列](create-job-queue.md)。
+ 建立任務定義來執行您的任務。如需詳細資訊，請參閱[建立單一節點任務定義](create-job-definition.md)。
+ 將任務和任務定義提交到新的任務佇列。此任務會登陸您使用新 VPC 和子網路建立的運算環境。如需詳細資訊，請參閱[教學課程：提交任務](submit_job.md)。
# 使用界面端點存取 AWS Batch
您可以使用 在 VPC 與 之間 AWS PrivateLink 建立私有連線 AWS Batch。您可以 AWS Batch 像在 VPC 中一樣存取 ，無需使用網際網路閘道、NAT 裝置、VPN 連接或 Direct Connect 連線。VPC 中的執行個體不需要公有 IP 地址即可存取 AWS Batch。
您可以建立由 AWS PrivateLink提供支援的*介面端點*來建立此私有連線。我們會在您為介面端點啟用的每個子網中建立端點網路介面。這些是請求者管理的網路介面，可作為目的地為 AWS Batch之流量的進入點。
如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[界面 VPC 端點](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html)。
# 的考量事項 AWS Batch
設定介面端點之前 AWS Batch，請檢閱《 *AWS PrivateLink 指南*》中的[介面端點屬性和限制](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#vpce-interface-limitations)。
AWS Batch 支援透過介面端點呼叫其所有 API 動作。
設定介面 VPC 端點之前 AWS Batch，請注意下列考量：
+ 使用 Fargate 資源啟動類型的任務不需要 Amazon ECS 的介面 VPC 端點，但您可能需要介面 VPC 端點 AWS Batch、Amazon ECR、Secrets Manager 或 Amazon CloudWatch Logs，如下所述。
+ 若要執行任務，您必須為 Amazon ECS 建立介面 VPC 端點。如需詳細資訊，請參閱《*Amazon Elastic Container Service 開發人員指南*》中的[界面 VPC 端點 (AWS PrivateLink)](https://docs.aws.amazon.com/AmazonECS/latest/developerguide/vpc-endpoints.html)。
+ 若要允許任務從 Amazon ECR 提取私有映像，您必須為 Amazon ECR 建立介面 VPC 端點。如需詳細資訊，請參閱 *《Amazon Elastic Container Registry 使用者指南》*中的[介面 VPC 端點 (AWS PrivateLink)](https://docs.aws.amazon.com/AmazonECR/latest/userguide/vpc-endpoints.html)。
+ 若要允許任務從 Secrets Manager 提取敏感資料，您必須為 Secrets Manager 建立介面 VPC 端點。如需詳細資訊，請參閱 *《AWS Secrets Manager 使用者指南》*中的[搭配使用 Secrets Manager 與 VPC 端點](https://docs.aws.amazon.com/secretsmanager/latest/userguide/vpc-endpoint-overview.html)。
+ 如果您的 VPC 沒有網際網路閘道，且您的任務使用`awslogs`日誌驅動程式將日誌資訊傳送至 CloudWatch Logs，則必須為 CloudWatch Logs 建立介面 VPC 端點。如需詳細資訊，請參閱《Amazon CloudWatch Logs 使用者指南**》中的[使用 CloudWatch Events 搭配介面 VPC 端點](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/cloudwatch-logs-and-interface-VPC.html)。
+ 使用 EC2 資源的任務需要啟動它們的容器執行個體，才能執行版本 `1.25.1`或更新版本的 Amazon ECS 容器代理程式。如需詳細資訊，請參閱《[Amazon Elastic Container Service 開發人員指南》中的 Amazon ECS Linux 容器代理程式版本](https://docs.aws.amazon.com/AmazonECS/latest/developerguide/ecs-agent-versions.html)。 **
+ VPC 端點目前不支援跨區域請求。請確實在計劃發出 AWS Batch API 呼叫的相同區域中建立端點。
+ 透過 Amazon Route 53，VPC 端點僅支援 Amazon 提供的 DNS。如果您想要使用自己的 DNS，您可以使用條件式 DNS 轉送。如需詳細資訊，請參閱*《Amazon VPC 使用者指南》*中的 [DHCP 選項集](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_DHCP_Options.html)。
+ 連接到 VPC 端點的安全群組，必須允許從 VPC 的私有子網路，透過 443 埠傳入的連線。
+ AWS Batch 不支援下列 VPC 介面端點 AWS 區域：
+ 亞太區域 (大阪) (`ap-northeast-3`)
+ 亞太區域 (雅加達) (`ap-southeast-3`)
# 建立 的介面端點 AWS Batch
您可以使用 Amazon VPC AWS Batch 主控台或 AWS Command Line Interface () 建立 的介面端點AWS CLI。如需詳細資訊，請參閱《*AWS PrivateLink 指南*》中的「[建立介面端點](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#create-interface-endpoint)」。
AWS Batch 使用下列服務名稱建立 的介面端點：
+ **com.amazonaws.***region* **.batch**
+ **com.amazonaws.***region* **.batch-fips** *（如需符合 FIPS 標準的端點，請參閱[AWS Batch 端點和配額](https://docs.aws.amazon.com/general/latest/gr/batch.html))*
例如：
```
com.amazonaws.us-east-2.batch
```
```
com.amazonaws.us-east-2.batch-fips
```
在`aws-cn`分割區中，格式不同：
```
cn.com.amazonaws.region.batch
```
例如：
```
cn.com.amazonaws.cn-northwest-1.batch
```
## AWS Batch 介面端點的私有 DNS 名稱
如果您為介面端點啟用私有 DNS，您可以使用特定 DNS 名稱來連線 AWS Batch，我們提供下列選項：
+ **batch.***region* **.amazonaws.com**
+ **batch.***region* **.api.aws**
對於 FIPS 相容端點：
+ **batch-fips.***region* **.api.aws**
+ *不支援* **fips.batch.***region* **.amazonaws.com**
如需詳細資訊，請參閱《 *AWS PrivateLink 指南*》中的[透過介面端點存取服務](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#access-service-though-endpoint)。
# 為您的介面端點建立端點政策
端點政策為 IAM 資源，您可將其連接至介面端點。預設端點政策允許 AWS Batch 透過介面端點完整存取 。若需控制您的 VPC 對 AWS Batch 的存取範圍，請將自訂端點政策套用至介面型端點。
端點政策會指定以下資訊：
+ 可執行動作的委託人 (AWS 帳戶、使用者和 IAM 角色）。
+ 可執行的動作。
+ 可供執行動作的資源。
如需詳細資訊，請參閱《*AWS PrivateLink 指南*》中的「[使用端點政策控制對服務的存取](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)」。
**範例： AWS Batch 動作的 VPC 端點政策**
以下是自訂端點政策的範例。當您將此政策連接到介面端點時，它會授予所有資源上所有主體的所列 AWS Batch 動作的存取權。
```
{
"Statement": [
{
"Principal": "*",
"Effect": "Allow",
"Action": [
"batch:SubmitJob",
"batch:ListJobs",
"batch:DescribeJobs"
],
"Resource":"*"
}
]
}
```
# 的合規驗證 AWS Batch
若要了解 是否 AWS 服務 在特定合規計劃的範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。
您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[在 中下載報告 AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。
您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。
# 中的基礎設施安全 AWS Batch
作為受管服務， AWS Batch 受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及如何 AWS 保護基礎設施的資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務來設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。
您可以使用 AWS 發佈的 API 呼叫， AWS Batch 透過網路存取 。使用者端必須支援下列專案：
+ Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。
+ 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。
您可以從任何網路位置呼叫這些 API 操作，但 AWS Batch 支援以資源為基礎的存取政策，其中可能包括根據來源 IP 地址的限制。您也可以使用 AWS Batch 政策來控制來自特定 Amazon Virtual Private Cloud (Amazon VPC) 端點或特定 VPCs存取。實際上，這只會隔離網路中特定 VPC 對指定 AWS Batch 資源 AWS 的網路存取。
# 預防跨服務混淆代理人
混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多權限的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。
我們建議在資源政策中使用 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)和 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)全域條件內容索引鍵，以限制將另一個服務 AWS Batch 提供給資源的許可。如果 `aws:SourceArn` 值不包含帳戶 ID (例如 Amazon S3 儲存貯體 ARN)，您必須使用這兩個全域條件內容金鑰來限制許可。如果同時使用這兩個全域條件內容金鑰，且 `aws:SourceArn` 值包含帳戶 ID，則在相同政策陳述式中使用 `aws:SourceAccount` 值和 `aws:SourceArn` 值中的帳戶時，必須使用相同的帳戶 ID。如果您想要僅允許一個資源與跨服務存取相關聯，則請使用 `aws:SourceArn`。如果您想要允許該帳戶中的任何資源與跨服務使用相關聯，請使用 `aws:SourceAccount`。
的值`aws:SourceArn`必須是 AWS Batch 存放的資源。
防範混淆代理人問題的最有效方法是使用 `aws:SourceArn` 全域條件內容索引鍵，以及資源的完整 ARN。如果不知道資源的完整 ARN，或者如果您指定了多個資源，請使用 `aws:SourceArn` 全域內容條件索引鍵搭配萬用字元 (`*`) 來表示 ARN 的未知部分。例如 `arn:aws:servicename:*:123456789012:*`。
下列範例示範如何在 中使用 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容索引鍵 AWS Batch ，以防止混淆代理人問題。
## 範例：僅存取一個運算環境的角色
下列角色只能用來存取一個運算環境。任務名稱必須指定為 ，`*`因為任務佇列可以與多個運算環境相關聯。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "batch.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "123456789012"
},
"ArnLike": {
"aws:SourceArn": [
"arn:aws:batch:us-east-1:123456789012:compute-environment/testCE",
"arn:aws:batch:us-east-1:123456789012:job/*"
]
}
}
}
]
}
```
------
## 範例：存取多個運算環境的角色
下列角色可用來存取多個運算環境。任務名稱必須指定為 ，`*`因為任務佇列可以與多個運算環境相關聯。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "batch.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "123456789012"
},
"ArnLike": {
"aws:SourceArn": [
"arn:aws:batch:us-east-1:123456789012:compute-environment/*",
"arn:aws:batch:us-east-1:123456789012:job/*"
]
}
}
}
]
}
```
------
# 使用 記錄 AWS Batch API 呼叫 AWS CloudTrail
AWS Batch 已與 服務整合 AWS CloudTrail，此服務可提供使用者、角色或 AWS 服務在其中採取之動作的記錄 AWS Batch。CloudTrail 會將 的所有 API 呼叫擷取 AWS Batch 為事件。擷取的呼叫包括來自 AWS Batch 主控台的呼叫，以及對 AWS Batch API 操作的程式碼呼叫。如果您建立線索，您可以將 CloudTrail 事件持續交付至 Amazon S3 儲存貯體，包括 的事件 AWS Batch。即使您未設定追蹤，依然可以透過 CloudTrail 主控台中的 **Event history (事件歷史記錄)** 檢視最新事件。您可以利用 CloudTrail 所收集的資訊來判斷向 AWS Batch發出的請求，以及發出請求的 IP 地址、人員、時間和其他詳細資訊。
若要進一步了解 CloudTrail，請參閱[AWS CloudTrail 《使用者指南》](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/)。
**Topics**
+ [AWS Batch CloudTrail 中的資訊](service-name-info-in-cloudtrail.md)
+ [參考：了解 AWS Batch 日誌檔案項目](understanding-service-name-entries.md)
# AWS Batch CloudTrail 中的資訊
當您建立 AWS 帳戶時，會在您的帳戶上啟用 CloudTrail。當活動在 中發生時 AWS Batch，該活動會與**事件歷史記錄**中的其他 AWS 服務事件一起記錄在 CloudTrail 事件中。您可以在 AWS 帳戶中檢視、搜尋和下載最近的事件。如需詳細資訊，請參閱《使用 CloudTrail 事件歷史記錄檢視事件》[https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。
若要持續記錄您 AWS 帳戶中的事件，包括 的事件 AWS Batch，請建立追蹤。*線索*能讓 CloudTrail 將日誌檔案交付至 Amazon S3 儲存貯體。根據預設，當您在主控台中建立線索時，線索會套用至所有 AWS 區域。線索會記錄 AWS 分割區中所有區域的事件，並將日誌檔案傳送到您指定的 Amazon S3 儲存貯體。此外，您可以設定其他 AWS 服務，以進一步分析和處理 CloudTrail 日誌中收集的事件資料。如需詳細資訊，請參閱下列內容：
+ [建立追蹤的概觀](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [CloudTrail 支援的服務和整合](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html#cloudtrail-aws-service-specific-topics-integrations)
+ [設定 CloudTrail 的 Amazon SNS 通知](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/getting_notifications_top_level.html)
+ [從多個區域接收 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html)，以及[從多個帳戶接收 CloudTrail 日誌檔案](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
CloudTrail 會記錄所有 AWS Batch 動作，並記錄在 https：//https://docs.aws.amazon.com/batch/latest/APIReference/。例如，對 `[SubmitJob](https://docs.aws.amazon.com/batch/latest/APIReference/API_SubmitJob.html)`、`[ListJobs](https://docs.aws.amazon.com/batch/latest/APIReference/API_ListJobs.html)` 和 `[DescribeJobs](https://docs.aws.amazon.com/batch/latest/APIReference/API_DescribeJobs.html)` 區段的呼叫，會在 CloudTrail 日誌檔案中產生項目。
每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項：
+ 該請求是否使用根或 IAM 使用者憑證提出。
+ 提出該請求時，是否使用了特定角色或聯合身分使用者的暫時安全憑證。
+ 請求是否由其他 AWS 服務提出。
如需詳細資訊，請參閱 [CloudTrail userIdentity 元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。
# 參考：了解 AWS Batch 日誌檔案項目
追蹤是一種組態，能讓事件以日誌檔案的形式交付到您指定的 Amazon S3 儲存貯體。CloudTrail 日誌檔案包含一或多個日誌專案。一個事件為任何來源提出的單一請求，並包含請求動作、請求的日期和時間、請求參數等資訊。CloudTrail 日誌檔並非依公有 API 呼叫的堆疊追蹤排序，因此不會以任何特定順序出現。
以下範例顯示的是展示 `[CreateComputeEnvironment](https://docs.aws.amazon.com/batch/latest/APIReference/API_CreateComputeEnvironment.html)` 動作的 CloudTrail 日誌項目。
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AIDACKCEVSQ6C2EXAMPLE:admin",
"arn": "arn:aws:sts::012345678910:assumed-role/Admin/admin",
"accountId": "012345678910",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2017-12-20T00:48:46Z"
},
"sessionIssuer": {
"type": "Role",
"principalId": "AIDACKCEVSQ6C2EXAMPLE",
"arn": "arn:aws:iam::012345678910:role/Admin",
"accountId": "012345678910",
"userName": "Admin"
}
}
},
"eventTime": "2017-12-20T00:48:46Z",
"eventSource": "batch.amazonaws.com",
"eventName": "CreateComputeEnvironment",
"awsRegion": "us-east-1",
"sourceIPAddress": "203.0.113.1",
"userAgent": "aws-cli/1.11.167 Python/2.7.10 Darwin/16.7.0 botocore/1.7.25",
"requestParameters": {
"computeResources": {
"subnets": [
"subnet-5eda8e04"
],
"tags": {
"testBatchTags": "CLI testing CE"
},
"desiredvCpus": 0,
"minvCpus": 0,
"instanceTypes": [
"optimal"
],
"securityGroupIds": [
"sg-aba9e8db"
],
"instanceRole": "ecsInstanceRole",
"maxvCpus": 128,
"type": "EC2"
},
"state": "ENABLED",
"type": "MANAGED",
"computeEnvironmentName": "Test"
},
"responseElements": {
"computeEnvironmentName": "Test",
"computeEnvironmentArn": "arn:aws:batch:us-east-1:012345678910:compute-environment/Test"
},
"requestID": "890b8639-e51f-11e7-b038-EXAMPLE",
"eventID": "874f89fa-70fc-4798-bc00-EXAMPLE",
"readOnly": false,
"eventType": "AwsApiCall",
"recipientAccountId": "012345678910"
}
```
# IAM AWS Batch 故障診斷
使用以下資訊來協助您診斷和修正使用 AWS Batch 和 IAM 時可能遇到的常見問題。
**Topics**
+ [我無權在 中執行動作 AWS Batch](#security_iam_troubleshoot-no-permissions)
+ [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole)
+ [我想要允許 AWS 帳戶外的人員存取我的 AWS Batch 資源](#security_iam_troubleshoot-cross-account-access)
## 我無權在 中執行動作 AWS Batch
如果 AWS 管理主控台 告訴您無權執行 動作，則必須聯絡您的管理員尋求協助。您的管理員是為您提供使用者名稱和密碼的人員。
下列範例錯誤會在 `mateojackson` 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `batch:GetWidget` 許可時發生。
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: batch:GetWidget on resource: my-example-widget
```
在此情況下，Mateo 會請求管理員更新他的政策，允許他使用 `my-example-widget` 動作存取 `batch:GetWidget` 資源。如需授予許可以傳遞角色的詳細資訊，請參閱[授予使用者許可以傳遞角色至 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_passrole.html)。
## 我未獲得執行 iam:PassRole 的授權
如果您收到錯誤，告知您未獲授權執行 `iam:PassRole` 動作，您的政策必須更新，允許您將角色傳遞給 AWS Batch。
有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。
名為 `marymajor` 的 IAM 使用者嘗試使用主控台在 AWS Batch中執行動作時，發生下列範例錯誤。但是，動作要求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。
如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。
## 我想要允許 AWS 帳戶外的人員存取我的 AWS Batch 資源
您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。
如需進一步了解，請參閱以下內容：
+ 若要了解 是否 AWS Batch 支援這些功能，請參閱 [AWS Batch 如何使用 IAM](security_iam_service-with-iam.md)。
+ 若要了解如何 AWS 帳戶 在您擁有的 資源間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 **
+ 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。
+ 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。
+ 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《IAM 使用者指南》**中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。