Prerequisiti di parco istanze EC2

Per creare il AWSServiceRoleForEC2Fleet ruolo per EC2 Fleet

1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel pannello di navigazione, seleziona Roles (Ruoli).

3. Selezionare Create role (Crea ruolo).

4. Nella pagina Seleziona un’entità attendibile, esegui le operazioni seguenti:

   1. Per Tipo di entità attendibile, scegli Servizio AWS .

   2. In Caso d’uso, per Servizio o caso d’uso, scegli EC2 – Parco istanze.

      Suggerimento

      Assicurati di scegliere EC2 – Parco istanze. Se scegli EC2, il caso d’uso EC2 – Parco istanze non appare nell’elenco dei casi d’uso. Lo use case EC2 - Fleet creerà automaticamente una policy con le autorizzazioni IAM richieste e suggerirà AWSServiceRoleForEC2Fleet come nome del ruolo.

   3. Scegli Next (Successivo).

5. Nella pagina Add permissions (Aggiungi autorizzazioni), scegli Next (Successivo).

6. Nella pagina Nomina, rivedi e crea scegli Crea ruolo.

Per concedere al ruolo AWSService RoleFor EC2 Fleet le autorizzazioni per utilizzare la chiave gestita dal cliente

• Utilizza il comando create-grant per aggiungere una concessione alla chiave gestita dal cliente e per specificare il principale (il ruolo collegato al servizio AWSServiceRoleForEC2Fleet) a cui è concessa l'autorizzazione per eseguire le operazioni consentite dalla concessione. La chiave gestita dal cliente è specificata dal parametro key-id e dall’ARN della chiave gestita dal cliente. Il principale è specificato dal grantee-principal parametro e dall'ARN del ruolo collegato al servizio AWSServiceRoleForEC2Fleet.

  aws kms create-grant \
      --region us-east-1 \
      --key-id arn:aws:kms:us-east-1:444455556666:key/1234abcd-12ab-34cd-56ef-1234567890ab \
      --grantee-principal arn:aws:iam::111122223333:role/AWSServiceRoleForEC2Fleet \
      --operations "Decrypt" "Encrypt" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "CreateGrant" "DescribeKey" "ReEncryptFrom" "ReEncryptTo"

Per creare una policy per il parco istanze EC2

1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione, scegli Policy.

3. Scegli Create Policy (Crea policy).

4. Nella pagina Create policy (Crea policy), selezionare la scheda JSON, sostituire il testo con il seguente, quindi selezionare Review policy (Rivedi policy).

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                 "iam:ListRoles",
                 "iam:PassRole",
                 "iam:ListInstanceProfiles"
               ],
               "Resource":"arn:aws:iam::123456789012:role/DevTeam*"
           }
       ]
   }
   

   ec2:* concede a un utente l’autorizzazione per chiamare tutte le operazioni API Amazon EC2. Per limitare l’utente a specifiche operazioni API Amazon EC2, è necessario invece indicare tali azioni.

   L’utente deve avere l’autorizzazione per chiamare l’operazione iam:ListRoles per enumerare i ruoli IAM esistenti, l’operazione iam:PassRole per specificare il ruolo del parco istanze EC2 e l’operazione iam:ListInstanceProfiles per enumerare i profili dell’istanza esistenti.

   (Facoltativo) Per consentire a un utente di creare ruoli o profili dell’istanza utilizzando la console IAM, devi inoltre aggiungere le operazioni seguenti alla policy:

   • iam:AddRoleToInstanceProfile

   • iam:AttachRolePolicy

   • iam:CreateInstanceProfile

   • iam:CreateRole

   • iam:GetRole

   • iam:ListPolicies

5. Nella pagina Review policy (Rivedi policy), immettere un nome policy e una descrizione, poi selezionare Create policy (Crea policy).

6. Per fornire l’accesso, aggiungi autorizzazioni agli utenti, gruppi o ruoli:

   • Utenti e gruppi in: AWS IAM Identity Center

     Crea un set di autorizzazioni. Segui le istruzioni riportate nella pagina Create a permission set (Creazione di un set di autorizzazioni) nella Guida per l’utente di AWS IAM Identity Center .

   • Utenti gestiti in IAM tramite un provider di identità:

     Crea un ruolo per la federazione delle identità. Segui le istruzioni riportate nella pagina Create a role for a third-party identity provider (federation) della Guida per l’utente IAM.

   • Utenti IAM:

     • Crea un ruolo che l’utente possa assumere. Segui le istruzioni riportate nella pagina Create a role for an IAM user della Guida per l’utente IAM.

     • (Non consigliato) Collega una policy direttamente a un utente o aggiungi un utente a un gruppo di utenti. Segui le istruzioni riportate nella pagina Aggiunta di autorizzazioni a un utente (console) nella Guida per l’utente IAM.