Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Profil d’instance des instances gérées Amazon ECS

Un profil d’instance est un conteneur IAM qui contient exactement un rôle IAM et permet aux instances gérées Amazon ECS d’assumer ce rôle en toute sécurité. Le profil d’instance contient un rôle d’instance que l’agent ECS assume pour enregistrer les instances auprès des clusters et communiquer avec le service ECS.

Création d’un rôle avec la stratégie d’approbation

Vous pouvez également utiliser le flux de travail Stratégie d’approbation personnalisée de la console IAM pour créer le rôle. Pour plus d’informations, reportez-vous à la section Création d’un rôle à l’aide de politiques de confiance personnalisées (console) dans le Guide de l’utilisateur IAM.

Une fois le fichier créé, vous devez autoriser votre utilisateur à transmettre le rôle à Amazon ECS.

Créez le profil d'instance à l'aide du AWS CLI

Après avoir créé le rôle, créez le profil d’instance à l’aide de l’ AWS CLI :

aws iam create-instance-profile --instance-profile-name ecsInstanceRole 

Ajoutez le rôle au profil d’instance :

aws iam add-role-to-instance-profile \
   --instance-profile-name ecsInstanceRole \
   --role-name ecsInstanceRole 

Vérifiez que le profil a été créé avec succès :

aws iam get-instance-profile --instance-profile-name ecsInstanceRole 

Créez le profil d'instance à l'aide de CloudFormation

Vous pouvez l'utiliser AWS CloudFormation pour créer le rôle d'instance et le profil d'instance. Choisissez l'une des options suivantes selon que vous utilisez la politique d'infrastructure AWS gérée ou une politique personnalisée.

Option 1 : utiliser la convention de ecsInstanceRole dénomination (recommandée)

Lorsque vous utilisez la politique d'infrastructure AWS gérée par -managed, vous devez RoleName définir explicitement une valeur commençant ecsInstanceRole par. Si vous omettezRoleName, un nom qui ne correspond pas à la iam:PassRole condition de la politique gérée est CloudFormation généré automatiquement et les tâches ne sont pas lancées.

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: ecsInstanceRole
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      InstanceProfileName: ecsInstanceRole
      Roles:
        - !Ref EcsInstanceRole

Option 2 : utiliser un nom de rôle personnalisé

Si vous préférez laisser CloudFormation générer le nom du rôle, ou si vous utilisez un nom personnalisé qui ne commence pas parecsInstanceRole, vous devez ajouter une politique intégrée à votre rôle d'infrastructure qui accorde le rôle iam:PassRole d'instance.

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      # No RoleName — CFN auto-generates
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Roles:
        - !Ref EcsInstanceRole

  EcsInfrastructureRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ecs.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInfrastructureRolePolicyForManagedInstances
      Policies:
        - PolicyName: PassInstanceRoleToEC2
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action: iam:PassRole
                Resource: !GetAtt EcsInstanceRole.Arn
                Condition:
                  StringLike:
                    iam:PassedToService: "ec2.*"

Résolution des problèmes

Les tâches échouent avec iam : erreur PassRole d'autorisation

Si vos tâches échouent avec une mentioniam:PassRole, vérifiez ResourceInitializationError que le nom de votre rôle d'instance commence parecsInstanceRole. Vous pouvez vérifier le nom généré automatiquement dans la CloudFormation console sous l'onglet Ressources de votre pile. Si le nom ne correspond pas, soit :