Как вы настраивали права доступа в GitHub для агента, чтобы он мог запускать или скачивать контейнер в ECS?

Для настройки прав доступа агента GitHub Actions к ECS для запуска или скачивания контейнеров необходимо выполнить следующие шаги:

1. Создание IAM-политики: Создать новую IAM-политику в AWS, предоставляющую необходимые разрешения. Минимальные разрешения для запуска задачи ECS включают ecs:RunTask, ecs:PullImage (для реестра ECR), iam:PassRole (если в определении задачи используется IAM-роль для задачи).

   json

   Если требуется только скачивание, разрешения могут быть ограничены только действиями ECR.

2. Создание IAM-пользователя или IAM-роли:

   • IAM-пользователь: Создать отдельного IAM-пользователя с программным доступом (Access Key ID и Secret Access Key). Подключить к этому пользователю созданную на шаге 1 IAM-политику. Этот метод менее безопасен из-за необходимости хранения ключей доступа.
   • IAM-роль с доверительными отношениями OpenID Connect (OIDC) и GitHub Actions: Это предпочтительный и более безопасный метод. Создать IAM-роль, установив доверительные отношения с провайдером OIDC для GitHub Actions. Настроить условие OIDC для ограничения доступа только из вашего репозитория GitHub. Подключить к этой роли созданную на шаге 1 IAM-политику.

   json