View a markdown version of this page

Concedere le autorizzazioni per copiare le AMI Amazon EC2 - Amazon Elastic Compute Cloud
Esempio di politica IAM per la copia di un' EBS-backed AMI e l'etichettatura dell'AMI e delle istantanee di destinazioneEsempio di politica IAM per copiare un' EBS-backed AMI ma negare l'etichettatura delle nuove istantaneeEsempio di politica IAM per copiare un'AMI Amazon S3-backed e etichettare l'AMI di destinazione

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Concedere le autorizzazioni per copiare le AMI Amazon EC2

Per copiare una EBS-backed o Amazon S3-backed AMI, sono necessarie le seguenti autorizzazioni IAM:

  • ec2:CopyImage – Per copiare l'AMI. Per le EBS-backed AMI, concede anche il permesso di copiare le istantanee di supporto dell'AMI.

  • ec2:CreateTags – Per taggare l'AMI di destinazione. Per le EBS-backed AMI, concede inoltre il permesso di etichettare le istantanee di supporto dell'AMI di destinazione.

Se stai copiando un'AMI supportata da un archivio dell'istanza, sono necessarie le seguenti autorizzazioni IAM aggiuntive:

  • s3:CreateBucket – Per creare il bucket S3 nella regione di destinazione per la nuova AMI

  • s3:PutBucketOwnershipControls— Per abilitare gli ACL per il bucket S3 appena creato in modo che gli oggetti possano essere scritti con l'ACL predefinito aws-exec-read https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html#canned-acl

  • s3:GetBucketAcl— Per leggere gli ACL per il bucket di origine

  • s3:ListAllMyBuckets – Per trovare un bucket S3 esistente per le AMI nella regione di destinazione

  • s3:GetObject – Per leggere gli oggetti nel bucket di origine

  • s3:PutObject – Per scrivere gli oggetti nel bucket di destinazione

  • s3:PutObjectAcl – Per scrivere le autorizzazioni per i nuovi oggetti nel bucket di destinazione

Nota

A partire dal 28 ottobre 2024, è possibile specificare le autorizzazioni a livello di risorsa per l'azione sull'AMI di origine. CopyImage Resource-level le autorizzazioni per l'AMI di destinazione sono disponibili come in precedenza. Per ulteriori informazioni, consulta CopyImage la tabella sotto Azioni definite da Amazon EC2 nel Service Authorization Reference.

Esempio di politica IAM per la copia di un' EBS-backed AMI e l'etichettatura dell'AMI e delle istantanee di destinazione

La seguente politica di esempio ti concede il permesso di copiare qualsiasi EBS-backed AMI e di etichettare l'AMI di destinazione e le relative istantanee di supporto.

Nota

A partire dal 28 ottobre 2024, è possibile specificare gli snapshot nell'elemento Resource. Per ulteriori informazioni, consulta la tabella CopyImage relativa alle azioni definite da Amazon EC2 nel Service Authorization Reference.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
        "Sid": "PermissionToCopyAllImages",
        "Effect": "Allow",
        "Action": [
            "ec2:CopyImage",
            "ec2:CreateTags"
        ],
        "Resource": [
            "arn:aws:ec2:*::image/*",
            "arn:aws:ec2:*::snapshot/*"
        ]
    }]
}

Esempio di politica IAM per copiare un' EBS-backed AMI ma negare l'etichettatura delle nuove istantanee

L'autorizzazione ec2:CopySnapshot viene concessa automaticamente quando si ottiene l'autorizzazione ec2:CopyImage. L'autorizzazione a taggare i nuovi snapshot di supporto può essere negata esplicitamente, annullando l'effetto Allow dell'azione ec2:CreateTags.

La seguente politica di esempio ti concede il permesso di copiare qualsiasi EBS-backed AMI, ma ti impedisce di etichettare le nuove istantanee di supporto dell'AMI di destinazione.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ec2:CopyImage",
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*::image/*",
                "arn:aws:ec2:*::snapshot/*"
            ]
        },
        {
            "Effect": "Deny",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:::snapshot/*"
        }
    ]
}

Esempio di politica IAM per copiare un'AMI Amazon S3-backed e etichettare l'AMI di destinazione

La seguente politica di esempio ti concede il permesso di copiare qualsiasi Amazon S3-backed AMI nel bucket di origine specificato nella regione specificata e di etichettare l'AMI di destinazione.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
            "Sid": "PermissionToCopyAllImages",
            "Effect": "Allow",
            "Action": [
                "ec2:CopyImage",
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*::image/*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": [
                "arn:aws:s3:::*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:GetBucketAcl",
                "s3:PutObjectAcl",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::amis-for-111122223333-in-us-east-2-hash"
            ]
        }
    ]
}

Per trovare l'Amazon Resource Name (ARN) del bucket di origine AMI, apri la console Amazon EC2 all'indirizzo https://console.aws.amazon.com/ec2/, nel pannello di navigazione scegli AMI e individua il nome del bucket nella colonna Source.

Nota

L's3:CreateBucketautorizzazione è necessaria solo la prima volta che copi un'Amazon S3-backed AMI in una singola regione. Successivamente, il bucket Amazon S3 già creato nella regione viene utilizzato per archiviare tutte le AMIs future copiate in quella regione.