如何标记由 AWS Batch 计算环境自动创建的 ECS 集群？

Question

我正在尝试在受到严格限制的 AWS 环境中部署批处理计算环境。出于计费目的，创建的所有资源都需要标记（例如billTo: billId），如果我尝试创建没有此标记的资源，我会被显式拒绝阻止。当批量计算环境尝试创建 ECS 集群时，我收到以下错误，因为它没有将标签传递给它。

User: arn:aws:sts::<accountId>:assumed-role/<roleName> is not authorized to perform ecs:CreateCluster on resource: * with an explicit deny

在创建批处理计算环境时，有两个地方可以指定标记（标记计算环境和标记计算环境使用的 EC2 资源）。我尝试在这两个地方添加billTo 标签，但仍然遇到相同的错误。

有谁知道在创建新的批处理计算环境时是否可以让 Batch 标记它尝试创建的 ECS 集群？

注意：我也尝试弄清楚如何传递现有的 ECS 集群，但这是不可能的 (How to Set an existing ECS cluster to a compute environment in AWS Batch)

Answer 1

截至 2021 年 7 月 15 日，AWS 不提供标记批处理计算环境自动生成的 ECS 集群的方法。解决办法是

1. 与系统管理员联系
2. 让他们解除 SCP（服务控制策略）导致显式拒绝短窗口
3. 创建批量计算环境并添加标签到ECS集群
4. 让系统管理员将 SCP 放回原处
5. 希望您不必再次重新部署系统管理员并出故障

希望 AWS 能够解决此问题并允许 ECS 集群被批处理计算环境标记。