AWSPolíticas administradas por para Amazon Elastic Container Service - Amazon Elastic Container Service

AWSPolíticas administradas por para Amazon Elastic Container Service

Para agregar permisos a usuarios, grupos y roles, es más fácil utilizar las políticas administradas de AWS que escribirlas uno mismo. Se necesita tiempo y experiencia para crear políticas administradas por el cliente de IAM que le brinden a su equipo solo los permisos necesarios. Para comenzar a hacerlo con rapidez, puede utilizar nuestras políticas administradas de AWS. Estas políticas cubren casos de uso comunes y están disponibles en su cuenta de AWS. Para obtener más información sobre las políticas administradas de AWS, consulte Políticas administradas de AWS en la Guía del usuario de IAM.

Los servicios de AWS mantienen y actualizan las políticas administradas de AWS. No puede cambiar los permisos en las políticas gestionadas de AWS. En ocasiones, los servicios agregan permisos adicionales a una política administrada de AWS para admitir características nuevas. Este tipo de actualización afecta a todas las identidades (usuarios, grupos y roles) donde se asocia la política. Es más probable que los servicios actualicen una política administrada de AWScuando se lanza una nueva característica o cuando se ponen a disposición nuevas operaciones. Los servicios no quitan los permisos de una política administrada de AWS, por lo tanto, las actualizaciones de las políticas no deteriorarán los permisos existentes.

Además, AWS admite políticas administradas para funciones de trabajo que abarcan varios servicios. Por ejemplo, la política administrada de AWS ReadOnlyAccess proporciona acceso de solo lectura a todos los servicios y los recursos de AWS. Cuando un servicio lanza una nueva característica, AWS agrega permisos de solo lectura para las operaciones y los recursos nuevos. Para obtener una lista y descripciones de las políticas de funciones de trabajo, consulte Políticas administradas de AWS para funciones de trabajo en la Guía del usuario de IAM.

Amazon ECS y Amazon ECR proporcionan varias políticas administradas y relaciones de confianza que se pueden asociar a usuarios, grupos, roles, instancias de Amazon EC2 y tareas de Amazon ECS para permitir diferentes niveles de control sobre los recursos y las operaciones de la API. Puede aplicar estas políticas directamente o puede usarlas como punto de partida para crear las suyas propias. Para obtener más información acerca de las políticas administradas por Amazon ECR, consulte Políticas administradas por Amazon ECR.

AmazonECS_FullAccess

Puede adjuntar la política AmazonECS_FullAccess a las identidades de IAM. Esta política otorga acceso administrativo a los recursos de Amazon ECS y le otorga a una identidad de IAM (como un usuario, grupo o rol) acceso a los servicios de AWS con los que Amazon ECS está integrado para utilizar todas las características de Amazon ECS. El uso de esta política permite acceder a todas las características de Amazon ECS que están disponibles en la Consola de administración de AWS.

Para ver los permisos de esta política, consulte AmazonECS_FullAccess en la Referencia de políticas administradas de AWS.

AmazonECSInfrastructureRolePolicyForVolumes

Puede adjuntar la política administrada de AmazonECSInfrastructureRolePolicyForVolumes a las entidades de IAM.

La política concede los permisos que necesita Amazon ECS para hacer llamadas a la API de AWS en su nombre. Puede adjuntar esta política al rol de IAM que proporciona con la configuración de su volumen al lanzar las tareas y los servicios de Amazon ECS. El rol permite que Amazon ECS administre los volúmenes adjuntos a sus tareas. Para obtener más información, consulte Rol de IAM para la infraestructura de Amazon ECS.

Para ver los permisos de esta política, consulte AmazonECSInfrastructureRolePolicyForVolumes en la Referencia de políticas administradas de AWS.

AmazonEC2ContainerServiceforEC2Role

Puede adjuntar la política AmazonEC2ContainerServiceforEC2Role a las identidades de IAM. Esta política concede permisos administrativos que permiten a las instancias de contenedor de Amazon ECS realizar llamadas a AWS en su nombre. Para obtener más información, consulte Rol de IAM de instancia de contenedor de Amazon ECS.

Amazon ECS asocia esta política a una función de servicio que permite a Amazon ECS realizar acciones en su nombre contra las instancias de Amazon EC2 o las instancias externas.

Para ver los permisos de esta política, consulte AmazonEC2ContainerServiceforEC2Role en la Referencia de políticas administradas de AWS.

Consideraciones

Debe tener en cuenta las siguientes recomendaciones y consideraciones al utilizar la política de IAM administrada AmazonEC2ContainerServiceforEC2Role.

  • Siguiendo el consejo de seguridad estándar de concesión de privilegios mínimos, puede modificar la política administrada AmazonEC2ContainerServiceforEC2Role para que se adapte a sus necesidades específicas. Si alguno de los permisos otorgados en la política administrada no resulta necesario para su caso de uso, cree una política personalizada y agregue solo los permisos que necesite. Por ejemplo, el permiso UpdateContainerInstancesState se proporciona para el vaciado de instancias de spot. Si ese permiso no es necesario para su caso de uso, exclúyalo mediante una política personalizada.

  • Los contenedores que se ejecutan en sus instancias de contenedor tienen acceso a todos los permisos que se suministran al rol de instancia de contenedor a través de metadatos de instancia. Le recomendamos que limite los permisos en el rol de instancia de contenedor a la lista mínima de permisos que se proporciona en la política administrada AmazonEC2ContainerServiceforEC2Role. Si los contenedores de sus tareas necesitan permisos adicionales que no se muestran aquí, le recomendamos que proporcione a esas tareas sus propios roles de IAM. Para obtener más información, consulte Rol de IAM de tarea de Amazon ECS.

    Puede evitar que los contenedores se encuentren en el puente docker0 accedan a los permisos proporcionados al rol de instancia de contenedor. Para hacer esto sin dejar de permitir los permisos proporcionados por Rol de IAM de tarea de Amazon ECS, ejecute el comando iptables en sus instancias de contenedor. Los contenedores no pueden consultar metadatos de instancia con esta regla en vigor. Este comando supone que se aplica la configuración puente de Docker predeterminada y no funcionará para contenedores que utilicen el modo de red host. Para obtener más información, consulte Modo de red.

    sudo yum install -y iptables-services; sudo iptables --insert DOCKER USER 1 --in-interface docker+ --destination 169.254.169.254/32 --jump DROP

    Debe guardar esta regla de iptables en la instancia de contenedor para que se conserve tras un reinicio. Utilice siguientes comandos para la AMI optimizada para Amazon ECS. Para otros sistemas operativos, consulte la documentación correspondiente a dicho sistema operativo.

    • Para la AMI de Amazon Linux 2 optimizada para Amazon ECS:

      sudo iptables-save | sudo tee /etc/sysconfig/iptables && sudo systemctl enable --now iptables
    • Para la AMI de Amazon Linux optimizada para Amazon ECS:

      sudo service iptables save

AmazonEC2ContainerServiceEventsRole

Puede adjuntar la política AmazonEC2ContainerServiceEventsRole a las identidades de IAM. Esta política concede permisos que permiten a Amazon EventBridge (anteriormente CloudWatch Events) ejecutar tareas en su nombre. Esta política se puede asociar al rol de IAM que se especifica al crear tareas programadas. Para obtener más información, consulte Rol de IAM de EventBridge de Amazon ECS.

Para ver los permisos de esta política, consulte AmazonEC2ContainerServiceEventsRole en la Referencia de políticas administradas de AWS.

AmazonECSTaskExecutionRolePolicy

La política de IAM administrada AmazonECSTaskExecutionRolePolicy otorga los permisos que necesita el agente de contenedor de Amazon ECS y los agentes de contenedor de AWS Fargate para hacer llamadas a la API de AWS en su nombre. Esta política se puede agregar a su rol de IAM de ejecución de tareas. Para obtener más información, consulte Rol de IAM de ejecución de tareas de Amazon ECS.

Para ver los permisos de esta política, consulte AmazonECSTaskExecutionRolePolicy en la Referencia de políticas administradas de AWS.

AmazonECSServiceRolePolicy

La política de IAM AmazonECSServiceRolePolicy administrada permite que Amazon Elastic Container Service administre su clúster. Esta política puede ser añadida a su función vinculada al servicio AWSServiceRoleForECS .

Para ver los permisos de esta política, consulte AmazonECSServiceRolePolicy en la Referencia de políticas administradas de AWS.

AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity

También puede asociar la política AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity a sus entidades de IAM. Esta política concede acceso administrativo a AWS Private Certificate Authority, Secrets Manager y otros servicios de AWS necesarios para administrar las características de TLS de Amazon ECS Service Connect en su nombre.

Para ver los permisos de esta política, consulte AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity en la Referencia de políticas administradas de AWS.

AWSApplicationAutoscalingECSServicePolicy

No puede asociar AWSApplicationAutoscalingECSServicePolicy a sus entidades IAM. Esta política se asocia a un rol vinculado al servicio que permite a Application Auto Scaling realizar acciones en su nombre. Para obtener más información, consulte Roles vinculados a servicios para Aplication Auto Scaling.

Para ver los permisos de esta política, consulte AWSApplicationAutoscalingECSServicePolicy en la Referencia de políticas administradas de AWS.

AWSCodeDeployRoleForECS

No puede asociar AWSCodeDeployRoleForECS a sus entidades IAM. Esta política se asocia a un rol vinculado al servicio que permite a CodeDeploy realizar acciones en su nombre. Para obtener más información, consulte Creación de una función de servicio para CodeDeploy en la Guía del usuario de AWS CodeDeploy.

Para ver los permisos de esta política, consulte AWSCodeDeployRoleForECS en la Referencia de políticas administradas de AWS.

AWSCodeDeployRoleForECSLimited

No puede asociar AWSCodeDeployRoleForECSLimited a sus entidades IAM. Esta política se asocia a un rol vinculado al servicio que permite a CodeDeploy realizar acciones en su nombre. Para obtener más información, consulte Creación de una función de servicio para CodeDeploy en la Guía del usuario de AWS CodeDeploy.

Para ver los permisos de esta política, consulte AWSCodeDeployRoleForECSLimited en la Referencia de políticas administradas de AWS.

AmazonECSInfrastructureRolePolicyForLoadBalancers

También puede asociar la política AmazonECSInfrastructureRolePolicyForLoadBalancers a sus entidades de IAM. Esta política concede permisos que permiten a Amazon ECS administrar los recursos de Elastic Load Balancing en su nombre. La política incluye:

  • Permisos de solo lectura para describir los oyentes, las reglas, los grupos de destino y el estado de los destinos

  • Permisos para registrar los destinos y anular su registro con los grupos de destino

  • Permisos para modificar los oyentes de los equilibradores de carga de aplicación y los equilibradores de carga de red

  • Permisos para modificar las reglas de los equilibradores de carga de aplicación

Estos permisos permiten a Amazon ECS administrar automáticamente las configuraciones del equilibrador de carga cuando se crean o actualizan los servicios, lo que garantiza el enrutamiento correcto del tráfico a los contenedores.

Para ver los permisos de esta política, consulte AmazonECSInfrastructureRolePolicyForLoadBalancers en la referencia de políticas administradas de AWS.

AmazonECSInfrastructureRolePolicyForManagedInstances

También puede asociar la política AmazonECSInfrastructureRolePolicyForManagedInstances a sus entidades de IAM. Esta política concede los permisos requeridos por Amazon ECS para crear y actualizar los recursos de Amazon EC2 para Instancias administradas de ECS en su nombre. La política incluye:

  • Permisos para crear y administrar plantillas de lanzamiento de Amazon EC2 para instancias administradas

  • Permisos para aprovisionar instancias de Amazon EC2 mediante CreateFleet y RunInstances

  • Permisos para crear y administrar etiquetas en los recursos de Amazon EC2 creados por ECS

  • Permisos para transferir roles de IAM a instancias de Amazon EC2 para instancias administradas

  • Permisos para crear roles vinculados a servicios para instancias de spot de Amazon EC2

  • Permisos de solo lectura para describir los recursos de Amazon EC2, incluidas las instancias, los tipos de instancias, las plantillas de lanzamiento, las interfaces de red, las zonas de disponibilidad, los grupos de seguridad, las subredes y las VPC

Estos permisos permiten a Amazon ECS aprovisionar y administrar automáticamente las instancias de Amazon EC2 para Instancias administradas de ECS, lo que garantiza una configuración y una administración del ciclo de vida adecuadas de los recursos computacionales subyacentes.

Para ver los permisos de esta política, consulte AmazonECSInfrastructureRolePolicyForManagedInstances en la Referencia de políticas administradas de AWS.

AmazonECSInfrastructureRolePolicyForVpcLattice

También puede asociar la política AmazonECSInfrastructureRolePolicyForVpcLattice a sus entidades de IAM. Esta política proporciona acceso a otros recursos de servicio de AWS necesarios para administrar en su nombre la característica de VPC Lattice en las cargas de trabajo de Amazon ECS.

Para ver los permisos de esta política, consulte AmazonECSInfrastructureRolePolicyForVpcLattice en la Referencia de políticas administradas de AWS.

Proporciona acceso a otros recursos de servicio de AWS necesarios para administrar en su nombre la característica de VPC Lattice en las cargas de trabajo de Amazon ECS.

AmazonECSInfrastructureRoleforExpressGatewayServices

También puede asociar la política AmazonECSInfrastructureRoleforExpressGatewayServices a sus entidades de IAM. Esta política concede los permisos requeridos por Amazon ECS para crear y actualizar aplicaciones web utilizando los servicios exprés en su nombre. La política incluye:

  • Permisos para crear roles vinculados a servicios para Application Auto Scaling de Amazon ECS

  • Permisos para crear, modificar y eliminar equilibradores de carga de aplicación, agentes de escucha, reglas y grupos de destino

  • Permisos para crear, modificar y eliminar grupos de seguridad de VPC para recursos administrados por ECS

  • Permisos para solicitar, administrar y eliminar certificados SSL/TLS a través de ACM

  • Permisos para configurar las políticas y los destinos de Application Auto Scaling para los servicios de Amazon ECS

  • Permisos para crear y administrar alarmas de CloudWatch para desencadenadores de escalado automático

  • Permisos de solo lectura para describir los equilibradores de carga, los recursos de VPC, los certificados, las configuraciones de escalado automático y las alarmas de CloudWatch

Estos permisos permiten a Amazon ECS aprovisionar y administrar automáticamente los componentes de infraestructura necesarios para las aplicaciones web de servicios exprés, incluidos el equilibrio de carga, los grupos de seguridad, los certificados SSL y las configuraciones de escalado automático.

Para ver los permisos de esta política, consulte AmazonECSInfrastructureRoleforExpressGatewayServices en la Referencia de políticas administradas de AWS.

AmazonECSComputeServiceRolePolicy

La política AmazonECSComputeServiceRolePolicy está asociada al rol vinculado a servicios de AmazonECSComputeServiceRole service-linked. Para obtener más información, consulte Uso de roles para administrar Instancias administradas de Amazon ECS.

Esta política incluye los siguientes permisos que permiten a Amazon ECS completar las siguientes tareas:

  • Amazon ECS puede describir y eliminar plantillas de lanzamiento.

  • Amazon ECS puede describir y eliminar versiones de plantillas de lanzamiento.

  • Amazon ECS puede terminar instancias.

  • Amazon ECS puede describir los siguientes parámetros de datos de instancia:

    • instancia

    • Interfaces de red de instancias: Amazon ECS puede describir el permiso para administrar el ciclo de vida de las instancias de EC2.

    • Ventana de eventos de instancia: Amazon ECS puede describir la información de la ventana de eventos para determinar si se puede interrumpir el flujo de trabajo para aplicar parches a la instancia.

    • Estado de la instancia: Amazon ECS puede describir el estado de la instancia para supervisar su estado.

Para ver los permisos de esta política, consulte AmazonECSComputeServiceRolePolicy en la Referencia de políticas administradas de AWS.

AmazonECSInstanceRolePolicyForManagedInstances

La política AmazonECSInstanceRolePolicyForManagedInstances proporciona permisos para que las instancias de Instancias administradas de Amazon ECS se registren en los clústeres de Amazon ECS y se comuniquen con el servicio de Amazon ECS.

Esta política incluye los siguientes permisos que permiten a Instancias administradas de Amazon ECS completar las siguientes tareas:

  • Registre y anule el registro en los clústeres de Amazon ECS.

  • Envíe los cambios de estado de instancia de contenedor.

  • Envíe los cambios de estado de la tarea.

  • Descubra los puntos de conexión de sondeo para el agente de Amazon ECS.

Para ver los permisos de esta política, consulte AmazonECSInstanceRolePolicyForManagedInstances en la Referencia de políticas administradas de AWS.

Actualizaciones de Amazon ECS para políticas administradas por AWS

Consultar los detalles sobre las actualizaciones de las políticas administradas por AWS para Amazon ECS ya que este servicio comenzó a realizar el seguimiento de estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en la página de historial de documentos de Amazon ECS.

Cambio Descripción Fecha

Agregue permisos a AmazonECSServiceRolePolicy.

La política de IAM AmazonECSServiceRolePolicy administrada se actualizó con nuevos permisos de Amazon EC2 que permiten a Amazon ECS obtener ventanas de eventos de Amazon EC2 para los servicios y clústeres asociados a las ventanas de eventos. 20 de noviembre de 2025

Agregue permisos a AmazonECSServiceRolePolicy.

La política de IAM AmazonECSServiceRolePolicy administrada se actualizó con nuevos permisos de Amazon EC2 que permiten a Amazon ECS aprovisionar y desaprovisionar la ENI de tareas. 14 de noviembre de 2025

Actualización de la política AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity

Se actualizó la política de IAM AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity administrada para separar el permiso secretsmanager:DescribeSecret en su propia instrucción de política. El permiso sigue limitando el acceso de Amazon ECS exclusivamente a los secretos creados por Amazon ECS y utiliza la coincidencia de patrones de ARN en lugar de etiquetas de recursos para determinar el alcance. Esto permite a Amazon ECS supervisar el estado del secreto durante todo su ciclo de vida, incluso cuando se ha eliminado un secreto. 13 de noviembre de 2025

Adición de una nueva política AmazonECSInfrastructureRoleforExpressGatewayServices

Se agregó la nueva política AmazonECSInfrastructureRoleforExpressGatewayServices que proporciona acceso a Amazon ECS para crear y administrar aplicaciones web mediante servicios exprés. 21 de noviembre de 2025

Adición de una nueva política AmazonECSInstanceRolePolicyForManagedInstances

Se agregó la nueva política AmazonECSInstanceRolePolicyForManagedInstances que proporciona permisos para que las instancias de Instancias administradas de Amazon ECS se registren en los clústeres de Amazon ECS. 30 de septiembre de 2025

Adición de una nueva política AmazonECSInfrastructureRolePolicyForManagedInstances

Se agregó la nueva política AmazonECSInfrastructureRolePolicyForManagedInstances que proporciona acceso a Amazon ECS para crear y administrar recursos administrados de Amazon EC2. 30 de septiembre de 2025

Adición de la nueva política AmazonECSComputeServiceRolePolicy

Permite que Amazon ECS administre Instancias administradas de Amazon ECS y los recursos relacionados. 31 de agosto de 2025

Adición de permisos a AmazonEC2ContainerServiceforEC2Role

La política de IAM administrada AmazonEC2ContainerServiceforEC2Role se actualizó para incluir el permiso ecs:ListTagsForResource. Este permiso permite al agente de Amazon ECS recuperar las etiquetas de tareas y de instancias de contenedores a través del punto de conexión de metadatos de la tarea (${ECS_CONTAINER_METADATA_URI_V4}/taskWithTags). 4 de agosto de 2025

Agregue permisos a AmazonECSInfrastructureRolePolicyForLoadBalancers.

La política de IAM administrada AmazonECSInfrastructureRolePolicyForLoadBalancers se actualizó con nuevos permisos para describir los grupos de destino, registrarlos y anular su registro. 25 de julio de 2025

Adición de la nueva política AmazonECSInfrastructureRolePolicyForLoadBalancers

Se agregó la nueva política AmazonECSInfrastructureRolePolicyForLoadBalancers, que proporciona acceso a otros recursos de servicio de AWS necesarios para administrar los equilibradores de carga asociados a las cargas de trabajo de Amazon ECS.

15 de julio de 2025

Agregue permisos a AmazonECSServiceRolePolicy.

La política de IAM administrada AmazonECSServiceRolePolicy se actualizó con nuevos permisos AWS Cloud Map que permiten a Amazon ECS actualizar los atributos de los servicios de AWS Cloud Map que administra Amazon ECS. 15 de julio de 2025

Agregar permisos a AmazonECSServiceRolePolicy

La política de IAM administrada AmazonECSServiceRolePolicy se actualizó con nuevos permisos AWS Cloud Map que permiten a Amazon ECS actualizar los atributos de los servicios de AWS Cloud Map que administra Amazon ECS. 24 de junio de 2025

Adición de permisos a AmazonECSInfrastructureRolePolicyForVolumes

Se actualizó la política AmazonECSInfrastructureRolePolicyForVolumes para agregar el permiso ec2:DescribeInstances. El permiso ayuda a prevenir la colisión de nombres de dispositivos para volúmenes de Amazon EBS que están asociados a tareas de Amazon ECS que se ejecutan en la misma instancia de contenedor. 2 de junio de 2025

Adición de una nueva política AmazonECSInfrastructureRolePolicyForVpcLattice

Proporciona acceso a otros recursos de servicio de AWS necesarios para administrar en su nombre la característica de VPC Lattice en las cargas de trabajo de Amazon ECS. 18 de noviembre de 2024

Adición de permisos a AmazonECSInfrastructureRolePolicyForVolumes

La política AmazonECSInfrastructureRolePolicyForVolumes se ha actualizado para permitir a los clientes crear un volumen de Amazon EBS a partir de una instantánea. 10 de octubre de 2024

Permisos agregados de AmazonECS_FullAccess.

La política AmazonECS_FullAccess se actualizó para añadir permisos iam:PassRole para los roles de IAM para una función denominada ecsInfrastructureRole. Este es el rol de IAM predeterminado que crea Consola de administración de AWS destinado a usarse como un rol de infraestructura de ECS que permite a Amazon ECS administrar los volúmenes de Amazon EBS adjuntos a las tareas de ECS. 13 de agosto de 2024

Adición de la nueva política AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity

Se agregó la nueva política AmazonECSInfrastructureRolePolicyForServiceConnectTransportLayerSecurity, que proporciona acceso administrativo a AWS KMS, AWS Private Certificate Authority y Secrets Manager y permite que las características de la TLS de Amazon ECS Service Connect funcionen correctamente.

22 de enero de 2024

Adición de la nueva política AmazonECSInfrastructureRolePolicyForVolumes

Se agregó la política AmazonECSInfrastructureRolePolicyForVolumes. La política concede los permisos que Amazon ECS necesita para hacer llamadas a la API de AWS con el fin de administrar los volúmenes de Amazon EBS asociados a las cargas de trabajo de Amazon ECS. 11 de enero de 2024

Agregar permisos a AmazonECSServiceRolePolicy

La política de IAM administrada AmazonECSServiceRolePolicy se actualizó con los nuevos permisos events y los permisos adicionales autoscaling y autoscaling-plans. 4 de diciembre de 2023

Adición de permisos a AmazonEC2ContainerServiceEventsRole

La política de IAM administrada AmazonECSServiceRolePolicy se actualizó para permitir el acceso a la operación de la API de AWS Cloud Map DiscoverInstancesRevision. 4 de octubre de 2023

Agregar permisos a AmazonEC2ContainerServiceforEC2Role

La política AmazonEC2ContainerServiceforEC2Role se modificó para agregar el permiso ecs:TagResource, que incluye una condición que limita el permiso solo a clústeres recién creados e instancias de contenedor registradas. 6 de marzo de 2023

Adición de permisos a AmazonECS_FullAccess

La política AmazonECS_FullAccess se modificó para agregar el permiso elasticloadbalancing:AddTags, que incluye una condición que limita el permiso solo a equilibradores de carga, grupos de destino, reglas y oyentes recién creados. Este permiso no permite agregar etiquetas a ningún recurso de ELB ya creado. 4 de enero de 2023

Amazon ECS comenzó a realizar el seguimiento de los cambios

Amazon ECS comenzó a realizar el seguimiento de los cambios de las políticas administradas por AWS.

8 de junio de 2021