使用 ecs-cli 时出现 IAM 错误

Question

我正在尝试使用 compose 文件为 ECS 创建一个新任务，但即使我的用户具有所需的权限，我也会收到 AccessDeniedException。

$ ecs-cli compose --project-name test create
WARN[0000] Skipping unsupported YAML option for service...  option name=build service name=builder
WARN[0000] Skipping unsupported YAML option for service...  option name=restart service name=db
WARN[0000] Skipping unsupported YAML option for service...  option name=restart service name=dbadmin
WARN[0000] Skipping unsupported YAML option for service...  option name=restart service name=app
ERRO[0001] Error registering task definition             error=AccessDeniedException: User: arn:aws:iam::XXXXXXX:user/foo is not authorized to perform: ecs:RegisterTaskDefinition on resource: *
    status code: 400, request id: 41e6b69a-a839-11e6-84b0-e9bc2ec3f81b family=ecscompose-test
ERRO[0001] Create task definition failed                 error=AccessDeniedException: User: arn:aws:iam::XXXXXXX:user/foo is not authorized to perform: ecs:RegisterTaskDefinition on resource: *
    status code: 400, request id: 41e6b69a-a839-11e6-84b0-e9bc2ec3f81b
FATA[0001] AccessDeniedException: User: arn:aws:iam::XXXXXXX:user/foo is not authorized to perform: ecs:RegisterTaskDefinition on resource: *
    status code: 400, request id: 41e6b69a-a839-11e6-84b0-e9bc2ec3f81b 

用户已附加此政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:RegisterTaskDefinition",
                "ecs:ListTaskDefinitions",
                "ecs:DescribeTaskDefinition"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

我还尝试附加 AmazonEC2ContainerServiceFullAccess（具有 ecs:*），但没有成功。

Answer 1

发现问题，我使用的用户有使用 MFA（MultiFactor Auth）的策略，ecs-cli 不支持。

Answer 2

我相信这篇文章对为什么会发生上述错误有一些答案，但认为不是解决方法。

Trouble deploying docker on AWS with ecs-cli

“据我了解，ecs-cli 对完整的 Docker Compose 文件语法的支持非常有限”

每位用户 Dolan Antenucci

注意警告 "WARN[0000] 跳过服务的不受支持的 YAML 选项..."

Answer 3

ECS 不支持大部分撰写设置。但是，它应该只打印警告并忽略它们，这会产生意想不到的结果，但不应该引发权限问题。

当您看到 400 AccessDeniedExceptions 以“user_arn not authorized to perform service:action on service_resource”的形式出现时，这绝对是 IAM 问题。但是，您列出的 IAM 策略看起来是正确的。我的想法是您不知何故没有使用正确的用户凭据，或者 IAM 策略未正确应用于用户。