AWS弹性容器服务（ECS）ExecutionRole和TaskRole之间的区别

Question

我正在使用AWS的云形成，我最近花了相当多的时间试图弄清楚为什么我创建并附加策略的角色没有使我的ECS任务能够将消息发送到简单队列服务（SQS）队列。

我意识到我将SQS权限策略错误地附加到执行角色，而我本应将该策略附加到任务角色。我找不到好的文档来解释这两个角色之间的差异。其中两个的CloudFormation文档位于此处：ExecutionRole和TaskRole

Answer 1

ECS任务执行角色是ECS代理（和容器实例）的能力，例如：

• 从Amazon ECR中提取容器图像
• 使用awslogs日志驱动程序

ECS任务角色是任务本身中的特定功能，例如：

• 当实际代码运行时

Answer 2

参考文档，您可以看到执行角色是IAM角色，它执行ECS操作，例如拉取映像并将应用程序日志存储在cloudwatch中。

TaskRole则是任务本身使用的IAM角色。例如，如果您的容器想要调用其他AWS服务，如S3、SQS等，那么这些权限需要由TaskRole覆盖。

使用TaskRole在功能上与在容器实例的配置文件中使用访问密钥相同。以这种方式使用访问密钥是不安全的，并且被认为是非常糟糕的做法。我在答案中包含了这一点，因为许多阅读本文的人已经了解访问密钥。