AWS ECS Fargate ALB не может проверить targetGroupArn - PullRequest
Новая
       102

AWS ECS Fargate ALB не может проверить targetGroupArn

0 голосов
/ 12 апреля 2020

ПРИМЕЧАНИЕ. Это касается ELBv2 ALB, а не устаревших балансировщиков нагрузки, ELBv1, но мой скромный представитель не позволит мне улучшить тегирование.

Я пытаюсь создать службу AWS ECS Fargate. Я создал балансировщики нагрузки приложений по одному для каждого контейнера в задаче, и поскольку create-service теперь поддерживает несколько балансировщиков нагрузки в соответствии с документацией - у нас все должно быть хорошо, верно? Поскольку это ALB, я указываю targetGroupArn, а не loadBalancerName, и, поскольку ECS имеет роль, связанную со службой, созданную по умолчанию, AWSServiceRoleForECS, я должен иметь возможность сопоставлять целевые группы и go вперед и создавать службу, верно? Не так, как раньше, когда вам приходилось создавать ecsServiceRole вручную из того, что мне сообщает inte rnet.

моя команда 

aws ecs create-service  --region $REGION --cluster $CLUSTER --service-name production-svc --task-definition $TASK_ARN --desired-count 2 --launch-type "FARGATE" --network-configuration "awsvpcConfiguration={subnets=[${SUBNET_1}, ${SUBNET_2}],securityGroups=[${SECURITYGROUP_ID}]}" --load-balancers=tgt-a,containerName=a,containerPort=5000,targetGroupArn=tgt-b,containerName=b,containerPort=6000

И ошибка, которую я получаю, Произошла ошибка (InvalidParameterException) при вызове операции CreateService: невозможно принять роль и проверить указанный targetGroupArn. Пожалуйста, убедитесь, что передаваемая роль службы ECS имеет соответствующие разрешения.

Теперь, глядя, что inte rnet может означать, что мои балансировщики нагрузки не существуют (вам придется мне доверять, они предоставляют - я предоставляю ARN целевой группы, и эти целевые группы существуют, как подтверждено aws elbv2 cli, и сопоставлены с действующими активными балансировщиками нагрузки приложений, которые все находятся в том же регионе, что и кластер), или что роль сопоставлена ​​службе ( тот, который AWS создан для меня ранее) не будет иметь достаточно прав для проверки targetGroupArn.

Действительно ли мне нужно добавить права на автоматическую c сопоставленную роль службы ECS? Если да - какие права ? 

            "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
            "elasticloadbalancing:DeregisterTargets",
            "elasticloadbalancing:Describe*",
            "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
            "elasticloadbalancing:RegisterTargets",

Моя роль Automati c (у которой есть AmazonECSServiceRolePolicy) уже имеет все эти роли? Какие из них отсутствуют?

...