如何在Fargate启动类型实例上更新AWS ECS容器代理

Question

我正在尝试配置AWS ECS使用awsvpc模式和IAM角色，专门用于任务。我们的ECS实例是fargate发射类型的。在任务配置中指定了一个任务IAM角色之后，我们ssh进入任务并尝试运行awscli命令，并得到以下错误:无法定位凭据。您可以通过运行“AWS配置”配置凭据。

为了排除故障，我们在一个EC2启动类型的容器中运行了相同的docker映像，当我们运行相同的awscli命令时，它错误地说假设的角色没有足够的权限。我们注意到这是因为它承担了容器实例IAM角色，而不是任务IAM角色。

根据这里的文档，很清楚当使用awsvpc网络模式时，我们需要在代理配置文件中将ECS_AWSVPC_Block_IMDS代理配置变量设置为true，然后重新启动代理，以便我们的实例承担任务IAM角色，而不是容器实例IAM角色。

就目前而言，出于性能测试的目的，我们需要使用Fargate启动类型进行部署，并且根据文档，应该为Fargate自动安装容器代理：

Amazon ECS容器代理安装在AWS托管基础结构上，用于使用Fargate启动类型的任务。如果您只使用具有Fargate启动类型的任务，则不需要其他配置，并且本主题中的内容不适用。

Answer 1

为Fargate任务创建任务定义时，是否分配任务角色ARN？需要两个IAM ARN。执行角色ARN是IAM角色，用于启动Fargate集群中的容器，并使用权限设置CloudWatch日志，可能还会从ECR中提取映像。任务角色ARN是容器具有的IAM角色。确保任务角色ARN具有ECS信任关系。

 {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Service": "ecs-tasks.amazonaws.com"
          },
          "Action": "sts:AssumeRole"
        }
      ]
    }