AWS ECS Docker容器Boto3 IAM权限

Question

我正在尝试使用AWS ECS在docker容器中运行boto3 python脚本。我的脚本需要访问SQS（获取

为了让docker容器在我的本地机器上运行，我能够使用以下docker run命令将我的aws凭据传递到docker容器中。

<代码>docker run-v ~/。aws:/root/。aws

最近ECS宣布：

亚马逊ECS现在支持任务的IAM角色。为任务指定IAM角色时，其容器可以使用最新版本的AWS CLI或SDK向授权的AWS服务发出API请求。了解更多信息

我将任务IAM角色附加到该任务，但在运行该任务时出现以下错误：

无法运行任务ECS无法承担为此任务提供的角色。请验证正在传递的角色是否具有正确的信任关系和权限，以及您的IAM用户是否具有传递此角色的权限

任何想法都将不胜感激。

Answer 1

Boto3使用botocore库作为其API函数，并且它允许每个Boto3版本有一系列botocore版本，因此即使您有最新的Boto3版本，您也可能没有最新的botocore。

从1.4.37版开始，Botocore支持任务的ECS IAM角色，因此如果您将环境中的底层botocore更新到至少该版本，您应该能够使用任务的ECS IAM角色功能。

Answer 2

看起来Boto现在支持IAM任务角色，但无论如何，这将是Boto客户端尝试发出请求时的问题，而不是尝试启动任务时的问题。

此处的问题在错误消息中定义。要么：

1） 您的用户没有为任务角色定义的iam:PassRole权限。可以通过编辑用户的策略来添加，使其具有类似于以下内容的语句：

{
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::<account>:role/<role name>"
}

2）您尝试分配给任务的任务角色没有适当的信任关系。将以下信任策略添加到ECS任务角色中，以确保它可以由任务承担。

{
  "Version": "2008-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs-tasks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}