向IAM角色添加權限

Question

我想向我的實例的IAM角色添加權限，以允許使用Cloudwatch Log Service。 查看該服務的《 配置指南 》后，我看到以下段落：

The CloudWatch Logs agent supports IAM roles and users. 
If your instance already has an IAM role associated with it, make sure that you include the IAM policy below. 
If you don't already have an IAM role assigned to your instance, 
  you'll need to use your IAM credentials for the next steps because you cannot assign an IAM role to an existing instance; 
  you can only specify a role when you launch a new instance.

我很難弄清楚這到底意味着什么。 創建新實例時，我使用CloudWatchLogsFullAccess策略和內聯策略創建了IAM角色，配置指南告訴您添加：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogStreams"
    ],
      "Resource": [
        "arn:aws:logs:*:*:*"
    ]
  }
 ]
}

這是一個新實例，但是以上內容使我對向現有實例添加權限感到困惑。 是否可以僅將CloudWatchLogsFullAccess策略添加到現有實例的角色以及該內聯策略中？

Answer 1

雖然確實可以僅在實例啟動期間將IAM角色分配給實例，但AWS在2017年2月宣布，現在可以將IAM角色替換或附加到現有實例。

使用AWS控制台 ： 使用EC2控制台輕松將IAM角色替換或附加到現有EC2實例

使用AWS CLI ： 通過使用AWS CLI 將AWS IAM角色附加到現有Amazon EC2實例