# EC2 实例配置文件

为 Qlik 管理的 EC2 实例定义 IAM 角色。该角色由在 AWS Lakehouse 环境中运行的实例使用。

EC2 实例配置文件是可以分配给 EC2 实例的 IAM 角色的容器。它允许实例安全地访问 AWS 服务，而不需要在实例上存储 AWS 凭据。

使用实例配置文件启动实例时，相关 IAM 角色的临时凭据可通过实例元数据服务自动提供给在实例上运行的应用程序。这样，实例就能向亚马逊 S3、DynamoDB 或 CloudWatch 等 AWS 服务发出授权 API 请求。

使用实例配置文件可以通过以下方式提高安全性并简化凭证管理：

* 消除应用程序代码或配置文件中的硬编码凭据。

* 自动轮换证书。

* 通过附加在角色上的细粒度 IAM 策略来执行最低权限。

实例配置文件通常用于 EC2 实例需要与其他 AWS 资源进行安全和编程式交互的场景。

## 先决条件

确保已创建用于托管 Qlik Open Lakehouse 的 VPC、子网和可用区，并掌握以下详细信息：

* 供 Qlik 用于存储内部元数据文件的 S3 存储段的 URL。

## 创建实例配置文件

要创建管理角色，请执行以下操作：

1. 在 AWS 控制台中，转到 IAM

2. 在角色中，单击创建角色并进行配置：

   * 可信实体类型：从选项中选择 AWS 服务。

   * 服务或用例：选择 EC2。

   * 用例：选择 EC2。

3. 创建角色。返回角色页面，单击您所创建的角色。

4. 单击实例配置文件 ARN 名称旁边的复制图标并保存此值。

5. 单击添加权限并选择创建内联策略。

6. 策略编辑器：选择 JSON。粘贴以下文本，并确保：

   * 将 <BUCKET\_NAME> 参数更改为 [S3 存储段](https://help.qlik.com/zh-CN/cloud-services/Subsystems/Hub/Content/Sense_Hub/DataIntegration/Lakehouse/s3-bucket.htm)。

```

			{
			"Version": "2012-10-17",
			"Statement": [
			{
			"Effect": "Allow",
			"Action": [
			"ec2:AttachVolume",
			"ec2:DetachVolume",
			"autoscaling:SetInstanceHealth"
			],
			"Resource": "*",
			"Condition": {
			"Null": {
			"aws:ResourceTag/qlik_cluster": "false"
			}
			}
			},
			{
			"Effect": "Allow",
			"Action": "cloudwatch:PutMetricData",
			"Resource": "*"
			},
			{
			"Effect": "Allow",
			"Action": [
			"s3:PutObject",
			"s3:GetObject",
			"s3:AbortMultipartUpload",
			"s3:DeleteObjectVersion",
			"s3:ListBucket",
			"s3:DeleteObject",
			"s3:GetObjectVersion"
			],
			"Resource": [
			"arn:aws:s3:::<BUCKET_NAME>",
			"arn:aws:s3:::<BUCKET_NAME>/*"
			]
			},
			{
			"Effect": "Allow",
			"Action": [
			"ssm:GetParameter",
			"ssm:PutParameter"
			],
			"Resource": "arn:aws:ssm:*:*:parameter/qlik/*"
			},
			{
			"Effect": "Allow",
			"Action": "kms:*",
			"Resource": "<SYMMETRIC_KMS_KEY>"
			},
			{
			"Effect": "Allow",
			"Action": "sts:AssumeRole",
			"Resource": "*",
			"Condition": {
			"StringEquals": {
			"sts:ExternalId": "6b69f9c3c8f502f2ddfc8434d443f172ebe4c032f4ef1a3c51215d27a58ca799"
			}
			}
			}
			]
			}
		
```

## 要求权限理由

下表解释了授予 EC2 实例的每种权限：

| 策略 | 权限 | 解释 |
| --- | --- | --- |
| 附加卷策略 | ```<br>{<br>"Version": "2012-10-17",<br>"Effect": "Allow",<br>"Resource": [<br>"*"<br>],<br>"Action": [<br>"ec2:AttachVolume",<br>"ec2:DetachVolume",<br>"autoscaling:SetInstanceHealth"<br>],<br>"Condition": {<br>"Null": {<br>"aws:ResourceTag/qlik_cluster": "false"<br>}<br>}<br>}<br>]<br>}<br><br><br>``` | 该策略授予 EC2 实例附加由 Qlik 创建的持久 EBS 卷的权限。这样，数据就能在 Gateway 计算机升级之间保持不变。 |
| CloudWatch | ```<br>{<br>"Version": "2012-10-17",<br>"Effect": "Allow",<br>"Resource": [<br>"*"<br>],<br>"Action": [<br>"cloudwatch:PutMetricData"<br>}<br>]<br>}<br><br><br>``` | 该策略允许 EC2 实例向 CloudWatch 推送自定义指标，用于根据软件性能自动扩展 Qlik 群集。 |
| 内部存储段 | ```<br>{<br>"Version": "2012-10-17",<br>"Effect": "Allow",<br>"Resource": [<br>"arn:aws:s3:::<BUCKET_NAME>",<br>"arn:aws:s3:::<BUCKET_NAME>/*"<br>],<br>"Action": [<br>"s3:PutObject",<br>"s3:GetObject",<br>"s3:AbortMultipartUpload",<br>"s3:DeleteObjectVersion",<br>"s3:ListBucket",<br>"s3:DeleteObject",<br>"s3:GetObjectVersion"<br>]<br>}<br>]<br>}<br><br><br>``` | 该策略允许 EC2 实例拥有存储、读取和删除内部数据的权限。内部数据包含真实的用户数据，这些数据被保存在中间存储器中以便处理。&lt;BUCKET\_NAME&gt; 是用户配置的值。 |