View a markdown version of this page

Izin yang diperlukan untuk VM Import/Export - VM Import/Export
Izin yang diperlukanPeran layanan yang diperlukan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Izin yang diperlukan untuk VM Import/Export

VM Import/Export memerlukan izin tertentu untuk pengguna, grup, dan peran Anda. Selain itu, peran layanan diperlukan untuk melakukan operasi tertentu atas nama Anda.

Izin yang diperlukan

Pengguna, grup, dan peran Anda memerlukan izin berikut dalam kebijakan IAM mereka untuk menggunakan VM: Import/Export

penting

VM Import/Export memvalidasi bahwa Anda memiliki iam:PassRole izin untuk peran yang ditentukan dalam RoleName parameter, atau untuk vmimport peran default jika tidak ada yang ditentukan. Pastikan kebijakan IAM Anda memberikan iam:PassRole pada peran ARN yang ingin Anda gunakan. Untuk informasi selengkapnya, lihat Memberikan izin pengguna untuk meneruskan peran ke AWS layanan di Panduan Pengguna IAM.

Penting:

Kunci kondisi tertentu tidak akan berfungsi dengan iam:PassRole VM Import/Export. Karena VM Import/Export membuat permintaan atas nama Anda, beberapa properti dari permintaan awal tidak dipertahankan. Beberapa kunci, sepertiaws:SourceVpc,aws:SourceVpce, danaws:VpcSourceIp, tidak tersedia dan dapat menyebabkan permintaan Anda gagal. Untuk informasi selengkapnya, lihat Kunci konteks kondisi global AWS dalam Panduan Pengguna IAM.

catatan

Beberapa tindakan memerlukan penggunaan bucket Amazon Simple Storage Service (Amazon S3). Kebijakan contoh ini tidak memberikan izin untuk membuat bucket S3. Pengguna atau peran yang Anda gunakan perlu menentukan bucket yang ada, atau memiliki izin untuk membuat bucket baru dengan s3:CreateBucket tindakan tersebut.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketLocation",
        "s3:GetObject",
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-import-bucket",
        "arn:aws:s3:::amzn-s3-demo-import-bucket/*",
        "arn:aws:s3:::amzn-s3-demo-export-bucket",
        "arn:aws:s3:::amzn-s3-demo-export-bucket/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CancelConversionTask",
        "ec2:CancelExportTask",
        "ec2:CreateImage",
        "ec2:CreateInstanceExportTask",
        "ec2:CreateTags",
        "ec2:DescribeConversionTasks",
        "ec2:DescribeExportTasks",
        "ec2:DescribeExportImageTasks",
        "ec2:DescribeImages",
        "ec2:DescribeInstanceStatus",
        "ec2:DescribeInstances",
        "ec2:DescribeSnapshots",
        "ec2:DescribeTags",
        "ec2:ExportImage",
        "ec2:ImportInstance",
        "ec2:ImportVolume",
        "ec2:StartInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances",
        "ec2:ImportImage",
        "ec2:ImportSnapshot",
        "ec2:DescribeImportImageTasks",
        "ec2:DescribeImportSnapshotTasks",
        "ec2:CancelImportTask"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::111122223333:role/vmimport"
    }
  ]
}

Peran layanan yang diperlukan

VM Import/Export memerlukan peran untuk melakukan operasi tertentu atas nama Anda. Anda harus membuat peran layanan bernama vmimport dengan dokumen kebijakan hubungan kepercayaan yang memungkinkan VM Import/Export untuk mengambil peran tersebut, dan Anda harus melampirkan kebijakan IAM ke peran tersebut. Untuk informasi lebih lanjut, lihat Peran IAM dalam Panduan Pengguna IAM.

Prasyarat

Anda harus mengaktifkan AWS Security Token Service (AWS STS) di Wilayah mana pun di mana Anda berencana untuk menggunakan VM Import/Export. Untuk informasi selengkapnya, lihat Mengaktifkan dan menonaktifkan AWS STS di Wil AWS ayah.

Untuk membuat peran layanan

  1. Buat file bernama trust-policy.json di komputer Anda. Tambahkan kebijakan berikut ke file:

    JSON
    {
   "Version":"2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": { "Service": "vmie.amazonaws.com" },
         "Action": "sts:AssumeRole",
         "Condition": {
            "StringEquals":{
               "sts:Externalid": "vmimport"
            }
         }
      }
   ]
}

  2. Gunakan create-role perintah untuk membuat peran bernama vmimport dan memberikan Import/Export akses VM ke sana. Pastikan Anda menentukan jalur lengkap ke lokasi file trust-policy.json yang Anda buat di langkah sebelumnya, dan Anda menyertakan awalan file:// seperti yang diperlihatkan contoh berikut:

    aws iam create-role --role-name vmimport --assume-role-policy-document "file://C:\import\trust-policy.json"

  3. Buat file bernama role-policy.json dengan kebijakan berikut, di mana amzn-s3-demo-import-bucket bucket untuk gambar disk yang diimpor dan amzn-s3-demo-export-bucket merupakan bucket untuk gambar disk yang diekspor:

    JSON
    {
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect": "Allow",
         "Action": [
            "s3:GetBucketLocation",
            "s3:GetObject",
            "s3:ListBucket" 
         ],
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-import-bucket",
            "arn:aws:s3:::amzn-s3-demo-import-bucket/*"
         ]
      },
      {
         "Effect": "Allow",
         "Action": [
            "s3:GetBucketLocation",
            "s3:GetObject",
            "s3:ListBucket",
            "s3:PutObject",
            "s3:GetBucketAcl"
         ],
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-export-bucket",
            "arn:aws:s3:::amzn-s3-demo-export-bucket/*"
         ]
      },
      {
         "Effect": "Allow",
         "Action": [
            "ec2:ModifySnapshotAttribute",
            "ec2:CopySnapshot",
            "ec2:RegisterImage",
            "ec2:Describe*"
         ],
         "Resource": "*"
      }
   ]
}

  4. (Opsional) Untuk mengimpor sumber daya yang AWS KMS dienkripsi menggunakan kunci dari AWS Key Management Service, tambahkan izin berikut ke role-policy.json file.

    {
  "Effect": "Allow",
  "Action": [
    "kms:CreateGrant",
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:Encrypt",
    "kms:GenerateDataKey*",
    "kms:ReEncrypt*"
  ],
  "Resource": "*"
}

    Jika menggunakan kunci KMS selain kunci default yang disediakan oleh Amazon EBS, Anda harus memberikan Import/Export izin VM ke kunci KMS jika Anda mengaktifkan enkripsi Amazon EBS secara default atau mengaktifkan enkripsi pada operasi impor. Anda dapat menentukan Amazon Resource Name (ARN) dari kunci KMS sebagai sumber daya bukan *.

  5. (Opsional) Untuk melampirkan konfigurasi lisensi untuk AMI, tambahkan izin License Manager berikut untuk file role-policy.json.

    {
  "Effect": "Allow",
  "Action": [
    "license-manager:GetLicenseConfiguration",
    "license-manager:UpdateLicenseSpecificationsForResource",
    "license-manager:ListLicenseSpecificationsForResource"
  ],
  "Resource": "*"
}

  6. Gunakan put-role-policy perintah berikut untuk melampirkan kebijakan ke peran yang dibuat di atas. Pastikan bahwa Anda menentukan jalur lengkap ke lokasi file role-policy.json.

    aws iam put-role-policy --role-name vmimport --policy-name vmimport --policy-document "file://C:\import\role-policy.json"

  7. Untuk kontrol keamanan tambahan, kunci konteks seperti aws:SourceAccount dan aws:SourceArn dapat ditambahkan ke kebijakan kepercayaan untuk peran yang baru dibuat ini. VM Import/Export akan menerbitkan SourceArn kunci SourceAccount dan seperti yang ditentukan dalam contoh di bawah ini untuk mengambil peran ini:

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "vmie.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:Externalid": "vmimport",
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:vmie:*:111122223333:*"
                }
            }
        }
    ]
}