Anfügen einer IAM-Rolle an eine Instance - Amazon Elastic Compute Cloud

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Anfügen einer IAM-Rolle an eine Instance

Sie können eine IAM-Rolle erstellen und sie während des Starts oder danach einer Instance anfügen. Sie können IAM-Rollen auch ersetzen oder trennen.

Eine IAM-Rolle beim Instance-Start erstellen und anhängen (empfohlen)

  1. Erweitern Sie beim Start der EC2-Instance die Option Erweiterte Details.

  2. Wählen Sie im Abschnitt IAM-Instanzprofil die Option Neue IAM-Rolle erstellen aus.

  3. Ein Inline-Formular zur Rollenerstellung wird geöffnet, mit dem Sie:

    • Geben Sie den Rollennamen an (z. B.EC2-S3-Access-Role)

    • Definieren Sie Berechtigungen, indem Sie AWS verwaltete Richtlinien auswählen oder benutzerdefinierte Richtlinien für Ihre Instanz erstellen

      Um beispielsweise S3-Zugriff zu gewähren, wählen Sie die AmazonS3ReadOnlyAccess verwaltete Richtlinie aus

    • Überprüfen Sie die Vertrauensrichtlinie, die es ermöglichtec2.amazonaws.com, die Rolle zu übernehmen

    • Fügen Sie optionale Tags für Metadaten hinzu

  4. Wählen Sie Rolle erstellen aus.

    Die neu erstellte Rolle wird automatisch ausgewählt und beim Start der Instance über ein Instanzprofil an Ihre Instance angehängt.

Anmerkung

Wenn Sie beim Start der Instance mithilfe der Konsole eine Rolle erstellen, wird automatisch ein Instance-Profil mit demselben Namen wie die Rolle erstellt. Das Instance-Profil ist ein Container, der beim Start IAM-Rolleninformationen an die Instance weitergibt.

Wichtig

  • Sie können nur eine IAM-Rolle an eine Instance anhängen, aber Sie können die gleiche Rolle an viele Instances anhängen.

  • Ordnen Sie IAM-Richtlinien mit den geringsten Rechten zu, die den Zugriff auf die spezifischen API-Aufrufe einschränken, die die Anwendung benötigt.

Weitere Informationen zum Erstellen und Verwenden von IAM-Rollen finden Sie unter Rollen im IAM-Benutzerhandbuch.

Anhängen einer vorhandenen IAM-Rolle beim Instance-Start

Um einer Instance beim Start mithilfe der Amazon EC2 EC2-Konsole eine bestehende IAM-Rolle zuzuweisen, erweitern Sie Erweiterte Details. Wählen Sie für das IAM-Instance-Profil die IAM-Rolle aus der Drop-down-Liste aus.

Anmerkung

Wenn Sie die IAM-Rolle mit der IAM-Konsole erstellt haben, wurde das Instance-Profil für Sie angelegt und hat denselben Namen wie die Rolle erhalten. Wenn Sie Ihre IAM-Rolle mithilfe der AWS CLI API oder eines AWS SDK erstellt haben, haben Sie Ihrem Instanzprofil möglicherweise einen anderen Namen als der Rolle gegeben.

Sie können einer Instance, die ausgeführt wird oder gestoppt wird, eine IAM-Rolle anfügen. Wenn der Instance bereits eine IAM-Rolle zugewiesen ist, müssen Sie diese durch die neue IAM-Rolle ersetzen.

Console
So fügen Sie einer Instance eine IAM-Rolle an

  1. Öffnen Sie die Amazon-EC2-Konsole unter https://console.aws.amazon.com/ec2/.

  2. Wählen Sie im Navigationsbereich Instances aus.

  3. Wählen Sie die Instance aus.

  4. Wählen Sie Actions (Aktionen), Security (Sicherheit), Modify IAM role (IAM-Rolle ändern) aus.

  5. Für IAM-Rolle wählen Sie das IAM-Instance-Profil.

  6. Wählen Sie IAM-Rolle aktualisieren.

AWS CLI
So fügen Sie einer Instance eine IAM-Rolle an

Verwenden Sie den associate-iam-instance-profileBefehl, um die IAM-Rolle an die Instanz anzuhängen. Wenn Sie das Instance-Profil angeben, können Sie entweder den Amazon-Ressourcenname (ARN) des Instance-Profils oder dessen Namen verwenden.

aws ec2 associate-iam-instance-profile \
    --instance-id i-1234567890abcdef0 \
    --iam-instance-profile Name="TestRole-1"
PowerShell
So fügen Sie einer Instance eine IAM-Rolle an

Verwenden Sie das cmdlet Register-EC2IamInstanceProfile.

Register-EC2IamInstanceProfile `
    -InstanceId i-1234567890abcdef0 `
    -IamInstanceProfile_Name TestRole-1

Um die IAM-Rolle in einer Instance zu ersetzen, an die bereits eine IAM-Rolle angefügt ist, muss die Instance ausgeführt werden. Sie können dies tun, wenn Sie die IAM-Rolle für eine Instance ändern möchten, ohne zuvor die vorhandene Instance zu trennen. Sie können dies beispielsweise tun, um sicherzustellen, dass die von Anwendungen auf der Instance ausgeführten API-Aktionen nicht unterbrochen werden.

Console
So ersetzen Sie eine IAM-Rolle für eine Instance

  1. Öffnen Sie die Amazon-EC2-Konsole unter https://console.aws.amazon.com/ec2/.

  2. Wählen Sie im Navigationsbereich Instances aus.

  3. Wählen Sie die Instance aus.

  4. Wählen Sie Actions (Aktionen), Security (Sicherheit), Modify IAM role (IAM-Rolle ändern) aus.

  5. Für IAM-Rolle wählen Sie das IAM-Instance-Profil.

  6. Wählen Sie IAM-Rolle aktualisieren.

AWS CLI
So ersetzen Sie eine IAM-Rolle für eine Instance

  1. Verwenden Sie bei Bedarf den Befehl describe-iam-instance-profile-associations, um die Zuordnungs-ID abzurufen.

    aws ec2 describe-iam-instance-profile-associations \
    --filters Name=instance-id,Values=i-1234567890abcdef0 \
    --query IamInstanceProfileAssociations.AssociationId

  2. Verwenden Sie den Befehl replace-iam-instance-profile-association. Geben Sie die Zuordnungs-ID für das vorhandene Instance-Profil und den ARN oder Namen des neuen Instance-Profils an.

    aws ec2 replace-iam-instance-profile-association \
    --association-id iip-assoc-0044d817db6c0a4ba \
    --iam-instance-profile Name="TestRole-2"
PowerShell
So ersetzen Sie eine IAM-Rolle für eine Instance

  1. Verwenden Sie bei Bedarf das Get-EC2IamInstanceProfileAssociationCmdlet, um die Zuordnungs-ID abzurufen.

    (Get-EC2IamInstanceProfileAssociation -Filter @{Name="instance-id"; Values="i-0636508011d8e966a"}).AssociationId

  2. Verwenden Sie das cmdlet Set-EC2IamInstanceProfileAssociation. Geben Sie die Zuordnungs-ID für das vorhandene Instance-Profil und den ARN oder Namen des neuen Instance-Profils an.

    Set-EC2IamInstanceProfileAssociation `
    -AssociationId iip-assoc-0044d817db6c0a4ba `
    -IamInstanceProfile_Name TestRole-2

Sie können eine IAM-Rolle von einer laufenden oder angehaltenen Instance trennen.

Console
So trennen Sie eine IAM-Rolle von einer Instance

  1. Öffnen Sie die Amazon-EC2-Konsole unter https://console.aws.amazon.com/ec2/.

  2. Wählen Sie im Navigationsbereich Instances aus.

  3. Wählen Sie die Instance aus.

  4. Wählen Sie Actions (Aktionen), Security (Sicherheit), Modify IAM role (IAM-Rolle ändern) aus.

  5. Klicken Sie unter IAM-Rolle auf die Option Keine IAM-Rolle.

  6. Wählen Sie IAM-Rolle aktualisieren.

  7. Wenn Sie zur Bestätigung aufgefordert werden, geben Sie Abhängen ein und wählen Sie dann Abhängen aus.

AWS CLI
So trennen Sie eine IAM-Rolle von einer Instance

  1. Verwenden Sie bei Bedarf describe-iam-instance-profile-associations, um die Zuordnungs-ID für das zu trennende IAM-Instanzprofil abzurufen.

    aws ec2 describe-iam-instance-profile-associations \
    --filters Name=instance-id,Values=i-1234567890abcdef0 \
    --query IamInstanceProfileAssociations.AssociationId

  2. Verwenden Sie den Befehl disassociate-iam-instance-profile.

    aws ec2 disassociate-iam-instance-profile --association-id iip-assoc-0044d817db6c0a4ba
PowerShell
So trennen Sie eine IAM-Rolle von einer Instance

  1. Verwenden Sie bei Bedarf, Get-EC2IamInstanceProfileAssociationum die Zuordnungs-ID für das zu trennende IAM-Instanzprofil abzurufen.

    (Get-EC2IamInstanceProfileAssociation -Filter @{Name="instance-id"; Values="i-0636508011d8e966a"}).AssociationId

  2. Verwenden Sie das cmdlet Unregister-EC2IamInstanceProfile.

    Unregister-EC2IamInstanceProfile -AssociationId iip-assoc-0044d817db6c0a4ba