ECSタスク実行ロールのIAMポリシー

ECSタスク実行ロールポリシー

ECS（FargateまたはEC2）でコンテナを実行する際、タスク実行ロールはECSエージェントがECRからコンテナイメージをプルし、CloudWatchにログをプッシュし、オプションでシークレットを取得するために使用されます。これはタスクロール（アプリケーションコードが使用するもの）とは別です。

ポリシーJSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowECRPull",
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowCloudWatchLogs",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:CreateLogGroup"
      ],
      "Resource": "arn:aws:logs:*:*:*"
    },
    {
      "Sid": "AllowSecretsAccess",
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-app/*"
    }
  ]
}

3つのステートメントの説明

1. ECRプル — GetAuthorizationTokenはアカウントレベルのアクションのためResource: "*"を使用する必要があります。
2. CloudWatch Logs — ECSエージェントがログストリームを作成し、コンテナのstdout/stderrログをプッシュできるようにします。
3. Secrets Manager — オプションで、タスク定義のsecretsセクションでシークレットを参照する場合にのみ必要です。