amazon-web-services - AWS Elastic Container Service (ECS) 执行角色与任务角色的区别

Question

我正在使用 AWS 的 CloudFormation，最近我花了很多时间试图弄清楚为什么我创建并附加策略的角色没有使我的 ECS 任务能够将消息发送到简单队列服务 (SQS) 队列。

我意识到我错误地将 SQS 权限策略附加到 Execution Role当我应该将政策附加到 Task Role 时.我找不到很好的文档来解释这两个角色之间的区别。他们两个的 CloudFormation 文档在这里:ExecutionRole和 TaskRole

Answer 1

引用the documentation可以看到执行角色是执行ECS Action 的IAM角色，比如拉取镜像，将应用日志存储在cloudwatch中。
那么，TaskRole 是任务本身使用的 IAM 角色。例如，如果您的容器想要调用其他 AWS 服务，如 S3、SQS 等，那么 TaskRole 需要涵盖这些权限。
使用 TaskRole 在功能上与在容器实例的配置文件中使用访问 key 相同。 以这种方式使用访问 key 并不安全，被认为是非常糟糕的做法。 我将其包含在答案中，因为许多阅读本文的人已经了解访问 key 。