向IAM角色添加权限

Question

我想向我的实例的IAM角色添加权限，以允许使用Cloudwatch Log Service。 查看该服务的《 配置指南 》后，我看到以下段落：

The CloudWatch Logs agent supports IAM roles and users. 
If your instance already has an IAM role associated with it, make sure that you include the IAM policy below. 
If you don't already have an IAM role assigned to your instance, 
  you'll need to use your IAM credentials for the next steps because you cannot assign an IAM role to an existing instance; 
  you can only specify a role when you launch a new instance.

我很难弄清楚这到底意味着什么。 创建新实例时，我使用CloudWatchLogsFullAccess策略和内联策略创建了IAM角色，配置指南告诉您添加：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogStreams"
    ],
      "Resource": [
        "arn:aws:logs:*:*:*"
    ]
  }
 ]
}

这是一个新实例，但是以上内容使我对向现有实例添加权限感到困惑。 是否可以仅将CloudWatchLogsFullAccess策略添加到现有实例的角色以及该内联策略中？

Answer 1

虽然确实可以仅在实例启动期间将IAM角色分配给实例，但AWS在2017年2月宣布，现在可以将IAM角色替换或附加到现有实例。

使用AWS控制台 ： 使用EC2控制台轻松将IAM角色替换或附加到现有EC2实例

使用AWS CLI ： 通过使用AWS CLI 将AWS IAM角色附加到现有Amazon EC2实例