Amazon EC2 Auto Scaling 起動テンプレートで発生する、"not authorized" というエラーをトラブルシューティングする方法を教えてください。

解決策

EC2 Auto Scaling グループを起動するための適切な AWS Identity and Access Management (IAM) アクセス許可がない場合に、"You are not authorized" というエラーが表示されます。この問題を解決するには、IAM ポリシーに次のアクセス許可を追加します。

IAM 認証情報

IAM エンティティに RunInstances API アクションを使用するためのアクセス許可があることを確認してください。また、起動テンプレートでタグを使用する場合は、CreateTags API アクションを使用するアクセス許可があることを確認してください。

ポリシーの例:

{  
    "Statement": [  
        {  
            "Action": [  
                "ec2:RunInstances",  
                "ec2:CreateTags"  
            ],  
            "Effect": "Allow",  
            "Resource": [  
                "arn:aws:ec2:*:*:instance/*",  
                "arn:aws:ec2:*:*:volume/*",  
                "arn:aws:ec2:*:*:network-interface/*",  
                "arn:aws:ec2:*:*:subnet/*",  
                "arn:aws:ec2:*:*:security-group/*",  
                "arn:aws:ec2:*:*:image/*",  
                "arn:aws:ec2:*:*:launch-template/*"  
            ]  
        }  
    ],  
    "Version": "2012-10-17"  
}  

AWS マネージドポリシー AmazonEC2FullAccess を使用することで、Amazon Elastic Compute Cloud (Amazon EC2) のすべてのリソースと関連サービスへのフルアクセスを付与できます。

インスタンスプロファイル

インスタンスプロファイルを指定するテンプレートを起動するには、ポリシーに PassRole アクセス許可を付与する必要があります。

ポリシーの例:

{  
    "Version": "2012-10-17",  
    "Statement": [  
        {  
            "Effect": "Allow",  
            "Action": [  
                "iam:PassRole"  
            ],  
            "Resource": [  
                "arn:aws:iam::444455556666:role/InstanceProfileRole"  
            ],  
            "Condition": {  
                "StringEquals": {  
                    "iam:PassedToService": "ec2.amazonaws.com"  
                }  
            }  
        }  
    ]  
}

注: PassRole アクセス許可は、同じ AWS アカウントを共有するサービスに IAM ロールを渡す場合にのみ使用できます。

AMI が別のアカウントにある場合

Amazon マシンイメージ (AMI) を指定するテンプレートを別の AWS アカウントで起動するには、そのアカウントが AMI へのアクセス許可を持っている必要があります。

AMI へのアクセス許可を確認するには、次の手順を実行します。

1. AMI 所有者アカウントから Amazon EC2 コンソールを開きます。
2. ナビゲーションペインで [AMI] をクリックします。
3. [AMI 名] でお使いの AMI を選択し、[アクセス許可] タブをクリックします。
4. [アクセス許可] で、アカウントが AMI のリストに表示されていることを確認します。
5. アカウントに AMI へのアクセス許可がない場合は、AMI をアカウントと共有します。

関連情報

IAM role for applications that run on Amazon EC2 instances (Amazon EC2 インスタンスで実行されるアプリケーションの IAM ロール)

AWSSupport-TroubleshootIAMAccessDeniedEvents