AWS ECS服务定义：角色属性

Question

我正在使用云形成和yaml语法设置AWS ECS服务。

在某个时候，在相关的留档中有一个名为Role的属性，其定义如下：

角色

AWS标识和访问管理（IAM）角色的名称或ARN，该角色允许Amazon ECS容器代理调用负载平衡器。

注意：在某些情况下，可能需要添加对服务角色策略的依赖关系。有关详细信息，请参阅DependsOn属性中的IAM角色策略。必需：无类型：字符串更新需要：替换

由于我打算将特定服务置于应用型负载均衡之后，是否需要此属性？

如果是，我是否需要创建一个新的策略，或者是否有任何预定义的策略可用于此目的？

如果我只是在EC2容器实例级别上添加角色/策略（例如，将其附加到创建Amazon提供的ECS集群的相关模板中），这是否足够？

如果有任何示例或用例，我将非常感激，因为文档在这个主题上是模糊和不完整的。

Answer 1

要向应用程序负载平衡器注册您的服务，您需要服务本身的角色，但ECS容器需要一些权限才能向集群注册。

Amazon弹性容器服务使用AWS身份和访问管理（IAM）服务链接角色。服务链接角色是直接链接到Amazon ECS的唯一IAM角色类型。服务链接角色由Amazon ECS预定义，包括服务代表您调用其他AWS服务所需的所有权限。

服务链接角色使设置Amazon ECS变得更容易，因为您不必手动添加必要的权限。Amazon ECS定义其服务链接角色的权限，除非另有定义，否则只有Amazon ECS可以承担其角色。定义的权限包括信任策略和权限策略，并且该权限策略不能附加到任何其他IAM实体。

所以如果你选中这个角色，它包含属性

"elasticloadbalancing:RegisterInstancesWithLoadBalancer",

若要调试或删除要服务的角色，它将不会注册。

如果默认情况下使用控制台创建服务，它会附加角色。

在创建和停止任务时，Amazon ECS需要使用html" target="_blank">负载均衡器注册和注销容器实例的权限。

在大多数情况下，亚马逊ECS服务角色是在亚马逊ECS控制台首次运行体验中自动为您创建的。您可以使用以下过程检查您的帐户是否已具有亚马逊ECS服务角色。

这管理的政策由AWS有ARN

arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceRole
Policy ARN

ARN： aws： iam::aws：策略/service-角色/Amazon EC2ContainerServiceRole描述Amazon ECS服务角色的默认策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:Describe*",
                "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
                "elasticloadbalancing:DeregisterTargets",
                "elasticloadbalancing:Describe*",
                "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
                "elasticloadbalancing:RegisterTargets"
            ],
            "Resource": "*"
        }
    ]
}

https://docs.aws.amazon.com/AmazonECS/latest/developerguide/check-service-role.html

这就是它的样子

如果您不将角色分配给ECS容器实例，它将永远不会显示在您的ECS集群中，并将抛出一个错误

2018-09-06T15:26:22Z [ERROR] Could not register: NoCredentialProviders: no valid providers in chain. Deprecated.
    For verbose messaging see aws.Config.CredentialsChainVerboseErrors

在/var/logs/ecs下

tail -f ecs-agent.log.2018-09-06

https://docs.aws.amazon.com/AmazonECS/latest/developerguide/using-service-linked-roles.html

Answer 2

如果要将应用程序负载平衡器与ECS服务一起使用，则需要角色属性。根据描述，该角色允许您的ECS服务代理连接到负载平衡器。如果不使用负载平衡器，则该字段是可选的。

也不需要在EC2实例级别上设置角色。因为有一些策略与ECS服务相关，所以在实例级角色中添加它是无效的。

请查看以下AWS管理策略来创建角色：

{
"AttachedPolicies": [
    {
        "PolicyArn": "arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceAutoscaleRole",
        "PolicyName": "AmazonEC2ContainerServiceAutoscaleRole"
    },
    {
        "PolicyArn": "arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role",
        "PolicyName": "AmazonEC2ContainerServiceforEC2Role"
    },
    {
        "PolicyArn": "arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceRole",
        "PolicyName": "AmazonEC2ContainerServiceRole"
    }
 ]
}

信任关系：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    },
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs-tasks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}