ECSのタスクが秘密情報を取得できない

正解は ウ です。 タスク定義の秘密情報の参照は、 ECSのエージェントがタスクの起動の準備で取得 するため、 タスク実行ロール に権限が必要です。アプリが使う権限はタスクロールに付けます。 ロール 使う主体 例 タスク実行ロール ECSのエージェント イメージの取得・ログ・秘密情報の注入 タスクロール アプリのコード S3やDynamoDBの操作 タスクロールはアプリが使う権限で、起動時の注入には使われない。 過剰な権限で、Fargateでは関係もない。 起動の準備で秘密情報を取得できるようになる。 秘密情報を平文で保存することになる。

ECSのタスク定義で、環境変数にSecrets Managerのシークレットを参照させたところ、タスクが起動しない。エラーはシークレットの取得の権限の不足を示している。アプリのコードはSecrets Managerを直接呼んでいない。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
タスクロールに権限を付ける
イ
ECSのクラスターのインスタンスのロールに、全ての権限を付ける
ウ
タスク実行ロールに、シークレットの取得の権限を付ける
エ
シークレットの値をタスク定義の環境変数に平文で直接書く