Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Profilo delle istanze gestite da Amazon ECS

Un profilo dell'istanza è un container IAM che contiene esattamente un ruolo IAM e permette alle istanze gestite da Amazon ECS di assumere tale ruolo in modo sicuro. Il profilo dell'istanza contiene un ruolo dell'istanza che l'agente ECS assume per registrare le istanze nei cluster e comunicare con il servizio ECS.

Crea il ruolo con la policy di attendibilità

Puoi inoltre usare il flusso di lavoro della policy di attendibilità della console IAM per creare il ruolo. Per ulteriori informazioni, consulta Creazione di un ruolo utilizzando criteri di attendibilità personalizzati (console) nella Guida per l'utente di IAM.

Dopo aver creato il file, è necessario concedere all'utente l'autorizzazione a trasferire il ruolo ad Amazon ECS.

Crea il profilo dell'istanza utilizzando AWS CLI

Dopo aver creato il ruolo, crea il profilo dell'istanza usando la AWS CLI:

aws iam create-instance-profile --instance-profile-name ecsInstanceRole 

Aggiungi il ruolo al profilo dell'istanza:

aws iam add-role-to-instance-profile \
   --instance-profile-name ecsInstanceRole \
   --role-name ecsInstanceRole 

Verificare che il profilo sia stato creato correttamente:

aws iam get-instance-profile --instance-profile-name ecsInstanceRole 

Crea il profilo dell'istanza utilizzando CloudFormation

È possibile utilizzare AWS CloudFormation per creare il ruolo e il profilo dell'istanza. Scegli una delle seguenti opzioni a seconda che utilizzi la politica AWS di infrastruttura gestita o una politica personalizzata.

Opzione 1: utilizza la convenzione di ecsInstanceRole denominazione (consigliata)

Quando si utilizza la politica AWS di infrastruttura gestita, è necessario RoleName impostarla in modo esplicito su un valore che inizia con. ecsInstanceRole Se omettiRoleName, CloudFormation genera automaticamente un nome che non corrisponde alla iam:PassRole condizione della policy gestita e le attività non vengono avviate.

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: ecsInstanceRole
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      InstanceProfileName: ecsInstanceRole
      Roles:
        - !Ref EcsInstanceRole

Opzione 2: utilizza un nome di ruolo personalizzato

Se preferisci lasciare che venga CloudFormation generato il nome del ruolo o utilizzi un nome personalizzato che non inizi conecsInstanceRole, devi aggiungere una policy in linea al tuo ruolo di infrastruttura che iam:PassRole conceda il ruolo dell'istanza.

Resources:
  EcsInstanceRole:
    Type: AWS::IAM::Role
    Properties:
      # No RoleName — CFN auto-generates
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ec2.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInstanceRolePolicyForManagedInstances

  EcsInstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Roles:
        - !Ref EcsInstanceRole

  EcsInfrastructureRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service: ecs.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonECSInfrastructureRolePolicyForManagedInstances
      Policies:
        - PolicyName: PassInstanceRoleToEC2
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action: iam:PassRole
                Resource: !GetAtt EcsInstanceRole.Arn
                Condition:
                  StringLike:
                    iam:PassedToService: "ec2.*"

Risoluzione dei problemi

Le attività falliscono con iam: PassRole errore di autorizzazione

Se le tue attività falliscono con una ResourceInitializationError menzioneiam:PassRole, verifica che il nome del ruolo dell'istanza inizi conecsInstanceRole. Puoi controllare il nome generato automaticamente nella CloudFormation console nella scheda Risorse del tuo stack. Se il nome non corrisponde, puoi anche: