Wie behebe ich „not authorized“-Fehler bei der Startvorlage für Amazon EC2 Auto Scaling?

Lösung

Du erhältst die Fehlermeldung „You are not authorized“, weil du nicht über die richtigen AWS Identity and Access Management (IAM)-Berechtigungen zum Starten von EC2-Auto-Scaling-Gruppen verfügst. Um dieses Problem zu beheben, füge deiner IAM-Richtlinie die folgenden Berechtigungen hinzu.

IAM-Anmeldeinformationen

Stelle sicher, dass deine IAM-Entität die Berechtigung hat, die RunInstances-API-Aktion zu verwenden. Wenn du in deiner Startvorlage Tags verwendest, stelle außerdem sicher, dass du die Berechtigung hast, die API-Aktion CreateTags zu verwenden.

Beispiel für eine Richtlinie:

{  
    "Statement": [  
        {  
            "Action": [  
                "ec2:RunInstances",  
                "ec2:CreateTags"  
            ],  
            "Effect": "Allow",  
            "Resource": [  
                "arn:aws:ec2:*:*:instance/*",  
                "arn:aws:ec2:*:*:volume/*",  
                "arn:aws:ec2:*:*:network-interface/*",  
                "arn:aws:ec2:*:*:subnet/*",  
                "arn:aws:ec2:*:*:security-group/*",  
                "arn:aws:ec2:*:*:image/*",  
                "arn:aws:ec2:*:*:launch-template/*"  
            ]  
        }  
    ],  
    "Version": "2012-10-17"  
}  

Um vollen Zugriff auf alle Amazon Elastic Compute Cloud (Amazon EC2)-Ressourcen und zugehörigen Dienste zu gewähren, kannst du die von AWS verwaltete Richtlinie AmazonEC2FullAccess verwenden. 

Instance-Profile

Um eine Vorlage zu starten, die ein Instance-Profil angibt, stelle sicher, dass die Richtlinie über die PassRole-Berechtigung verfügt.

Beispiel für eine Richtlinie:

{  
    "Version": "2012-10-17",  
    "Statement": [  
        {  
            "Effect": "Allow",  
            "Action": [  
                "iam:PassRole"  
            ],  
            "Resource": [  
                "arn:aws:iam::444455556666:role/InstanceProfileRole"  
            ],  
            "Condition": {  
                "StringEquals": {  
                    "iam:PassedToService": "ec2.amazonaws.com"  
                }  
            }  
        }  
    ]  
}

Hinweis: Du kannst die PassRole-Berechtigung nur verwenden, um eine IAM-Rolle an einen Service zu übergeben, der dasselbe AWS-Konto nutzt. 

AMI in einem anderen Konto

Um eine Vorlage zu starten, die ein Amazon Machine Image (AMI) in einem anderen AWS-Konto angibt, muss das Konto Zugriff auf das AMI haben.

Gehe wie folgt vor, um die Berechtigungen für das AMI zu überprüfen:

1. Öffne die Amazon-EC2-Konsole über das Konto des AMI-Eigentümers.
2. Wähle im Navigationsbereich AMIs aus.
3. Wähle als Name des AMI dein AMI aus und wähle dann den Tab Berechtigungen aus.
4. Stelle unter Berechtigungen sicher, dass das Konto für das AMI aufgeführt ist.
5. Wenn das Konto keine Genehmigung für das AMI hat, teile das AMI mit dem Konto.

Weitere Informationen

IAM-Rolle für Anwendungen, die auf Amazon-EC2-Instances ausgeführt werden

AWSSupport-TroubleshootIAMAccessDeniedEvents