Configuración de la distribución entre cuentas de AMI utilizando Generador de Imágenes

Para utilizar las AMI de Generador de Imágenes distribuidas entre las cuentas, el propietario de la cuenta de destino debe crear un nuevo rol de IAM en su cuenta denominado EC2ImageBuilderDistributionCrossAccountRole.

Deben asociar Política Ec2ImageBuilderCrossAccountDistributionAccess al rol para permitir la distribución entre cuentas. Para obtener más información sobre políticas administradas, consulte Políticas administradas y políticas insertadas en la AWS Identity and Access Management Guía del usuario de IAM.

Compruebe que el ID de la cuenta de origen se haya añadido a la política de confianza asociada al rol de IAM de la cuenta de destino. Para obtener más información sobre las políticas de confianza, consulte Políticas basadas en recursos en laGuía del usuario de AWS Identity and Access Management .

Si la AMI que distribuye está cifrada, el propietario de la cuenta de destino debe añadir la siguiente política en línea al EC2ImageBuilderDistributionCrossAccountRole en su cuenta para poder usar sus claves de KMS. La sección Principal contiene su número de cuenta. Esto permite a Image Builder actuar en su nombre cuando se utiliza AWS KMS para cifrar y descifrar la AMI con las claves adecuadas para cada región.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowRoleToPerformKMSOperationsOnBehalfOfTheDestinationAccount",
			"Effect": "Allow",
			"Action": [
				"kms:Encrypt",
				"kms:Decrypt",
				"kms:ReEncrypt*",
				"kms:GenerateDataKey*",
				"kms:DescribeKey",
				"kms:CreateGrant",
				"kms:ListGrants",
				"kms:RevokeGrant"
			],
			"Resource": "*"
		}
	]
}

Para obtener más información acerca de las políticas insertadas, consulte Políticas insertadas en la AWS Identity and Access Management Guía del usuario.

Si va a usar launchTemplateConfigurations para especificar una plantilla de lanzamiento de Amazon EC2, también debe añadir la siguiente política a su cuenta EC2ImageBuilderDistributionCrossAccountRole de destino.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateLaunchTemplateVersion",
                "ec2:ModifyLaunchTemplate"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/CreatedBy": "EC2 Image Builder"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*:*:launch-template/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CreatedBy": "EC2 Image Builder"
                }
            }
        }
    ]
}

Abra la consola de Generador de Imágenes de EC2 en https://console.aws.amazon.com/imagebuilder/.

En el panel de navegación, seleccione Ajustes de distribución. Aquí se muestra una lista de los ajustes de distribución que se crean en su cuenta.

En la parte superior de la página Ajustes de distribución, seleccione Crear ajustes de distribución. Esto le llevará a la página Crear los ajustes de distribución.

En la sección Tipo de imagen, elija Imagen de máquina de Amazon (AMI) como tipo de salida. Este es el valor predeterminado.

En la sección General, ingrese el nombre del recurso de ajustes de distribución que desea crear (obligatorio).

En la sección Ajustes de región, introduzca un ID de cuenta de 12 dígitos al que desee distribuir su AMI en las cuentas de Target de la región seleccionada y pulse Entrar. De este modo, se comprueba que el formato es correcto y, a continuación, se muestra el ID de cuenta que ha introducido debajo del cuadro. Repite el proceso para añadir más cuentas.

Para eliminar una cuenta que has introducido, seleccione la X que aparece a la derecha del ID de la cuenta.

Introduzca el nombre de la AMI de salida para cada región.

Continúe especificando cualquier configuración adicional que necesite y seleccione Crear configuración para crear su nuevo recurso de ajustes de distribución.

Configuración de un archivo de ajustes de distribución

Antes de utilizar el create-image comando de AWS CLI para crear una AMI de Image Builder que se distribuya a otra cuenta, debe crear una estructura DistributionConfiguration JSON que especifique los ID de la cuenta de destino en la AmiDistributionConfiguration configuración. Tiene que especificar al menos una AmiDistributionConfiguration en la región de origen.

El siguiente archivo de ejemplo, denominado create-distribution-configuration.json, muestra la configuración para la distribución de imágenes entre cuentas en la región de origen.

{
	"name": "cross-account-distribution-example",
	"description": "Cross Account Distribution Configuration Example",
	"distributions": [
		{
			"amiDistributionConfiguration": {
				"targetAccountIds": ["123456789012", "987654321098"],
				"name": "Name {{ imagebuilder:buildDate }}", 
				"description": "ImageCopy Ami Copy Configuration"
			}, 
			"region": "us-west-2"
		}
	]
}

Creación de los ajustes de distribución

Para crear un recurso de configuración de distribución de Image Builder mediante el create-distribution-configurationcomando del AWS CLI, proporcione los siguientes parámetros en el comando:

aws imagebuilder create-distribution-configuration --name my distribution name --cli-input-json file://create-distribution-configuration.json