AWS ECS服务定义：角色属性

Question

我正在使用cloudformation和yaml语法设置AWS ECS服务。

在某些时候，在相关的documentation有一个名为Role的属性，其定义如下：

角色

AWS身份和访问管理（IAM）角色的名称或ARN，允许您的Amazon ECS容器代理调用负载均衡器。

注意在某些情况下，您可能需要添加对服务角色策略的依赖性。有关更多信息，请参阅DependsOn属性中的IAM角色策略。必需：否类型：字符串更新要求：替换

由于我打算将特定服务放在Application Load Balancer后面，是否需要此属性？

如果是，我是否需要创建新策略，或者是否存在可以实现此目的的预定义策略？

如果我只是在EC2容器实例级别添加角色/策略（例如将其附加到创建由amazon提供的ECS群集的relevant template中），这是否足够？

我非常感谢任何示例或用例（如果有的话），因为该主题的文档含糊不清且不完整。

Answer 1

如果要将Application Load balancer与ECS service一起使用，则需要Role属性。根据描述，角色允许您的ECS服务代理连接到负载均衡器。如果您当时没有使用负载均衡器，则该字段是可选的。

还不需要在EC2实例级别设置角色。由于存在一些与ECS服务相关的策略，因此在实例级角色中添加该策略无效。

请在下面找到AWS托管策略来创建角色：

{
"AttachedPolicies": [
    {
        "PolicyArn": "arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceAutoscaleRole",
        "PolicyName": "AmazonEC2ContainerServiceAutoscaleRole"
    },
    {
        "PolicyArn": "arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role",
        "PolicyName": "AmazonEC2ContainerServiceforEC2Role"
    },
    {
        "PolicyArn": "arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceRole",
        "PolicyName": "AmazonEC2ContainerServiceRole"
    }
 ]
}

信任关系：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    },
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs-tasks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Answer 2

要使用应用程序负载平衡器注册您的服务，您需要服务本身的角色，但ECS容器需要一些权限才能向群集注册。

Amazon Elastic Container Service使用AWS Identity and Access Management（IAM）服务链接角色。服务链接角色是一种独特类型的IAM角色，它直接链接到Amazon ECS。服务链接角色由Amazon ECS预定义，包括服务代表您调用其他AWS服务所需的所有权限。

服务链接角色使得设置Amazon ECS变得更加容易，因为您不必手动添加必要的权限。 Amazon ECS定义其服务链接角色的权限，除非另有定义，否则只有Amazon ECS可以承担其角色。定义的权限包括信任策略和权限策略，并且权限策略不能附加到任何其他IAM实体。

因此，如果您检查此角色，则包含属性

"elasticloadbalancing:RegisterInstancesWithLoadBalancer",

要调试删除要服务的角色，它将不会注册。

如果您在默认情况下使用控制台创建服务，则会附加角色。

在创建和停止任务时，Amazon ECS需要使用负载均衡器注册和注销容器实例的权限。

在大多数情况下，将在Amazon ECS控制台首次运行体验中自动为您创建Amazon ECS服务角色。您可以使用以下过程检查并查看您的帐户是否已具有Amazon ECS服务角色。

这个由AWS管理的策略有ARN

arn:aws:iam::aws:policy/service-role/AmazonEC2ContainerServiceRole
Policy ARN

arn：aws：iam :: aws：policy / service-role / AmazonEC2ContainerServiceRole描述Amazon ECS服务角色的默认策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:Describe*",
                "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
                "elasticloadbalancing:DeregisterTargets",
                "elasticloadbalancing:Describe*",
                "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
                "elasticloadbalancing:RegisterTargets"
            ],
            "Resource": "*"
        }
    ]
}

https://docs.aws.amazon.com/AmazonECS/latest/developerguide/check-service-role.html

这是它的样子

如果您没有为ECS容器实例分配角色，它将永远不会显示在您的ECS群集中，它将引发错误

2018-09-06T15:26:22Z [ERROR] Could not register: NoCredentialProviders: no valid providers in chain. Deprecated.
    For verbose messaging see aws.Config.CredentialsChainVerboseErrors

在/var/logs/ecs下

tail -f ecs-agent.log.2018-09-06

https://docs.aws.amazon.com/AmazonECS/latest/developerguide/using-service-linked-roles.html