Concedi le autorizzazioni per copiare Amazon EC2 AMIs - Amazon Elastic Compute Cloud
Esempio IAM di politica per copiare un file EBS -backed AMI e etichettare la destinazione e le istantanee AMIEsempio di IAM politica per copiare un EBS -backed AMI ma negare l'etichettatura delle nuove istantaneeEsempio di IAM politica per copiare un'istanza archiviata e etichettare la destinazione AMI AMI

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Concedi le autorizzazioni per copiare Amazon EC2 AMIs

Per copiare un file EBS -backed o uno store-backed di un'istanzaAMI, sono necessarie le seguenti autorizzazioni: IAM

  • ec2:CopyImage— Per copiare il. AMI Per EBS -backedAMIs, concede anche il permesso di copiare le istantanee AMI di supporto.

  • ec2:CreateTags— Per etichettare il bersaglio. AMI Per EBS -backedAMIs, concede anche il permesso di taggare le istantanee AMI di supporto del bersaglio.

Se stai copiando un'istanza archiviataAMI, hai bisogno delle seguenti autorizzazioni aggiuntive: IAM

  • s3:CreateBucket— Per creare il bucket S3 nella regione di destinazione per il nuovo AMI

  • s3:GetBucketAcl— Per leggere le ACL autorizzazioni per il bucket di origine

  • s3:ListAllMyBuckets— Per trovare un bucket S3 esistente nella regione di destinazione AMIs

  • s3:GetObject— Per leggere gli oggetti nel bucket di origine

  • s3:PutObject— Per scrivere gli oggetti nel bucket di destinazione

  • s3:PutObjectAcl— Per scrivere i permessi per i nuovi oggetti nel bucket di destinazione

Esempio IAM di politica per copiare un file EBS -backed AMI e etichettare la destinazione e le istantanee AMI

La seguente politica di esempio concede il permesso di copiare qualsiasi elemento EBS -backed AMI e di etichettare la destinazione e le relative istantanee di supporto. AMI

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "PermissionToCopyAllImages",
        "Effect": "Allow",
        "Action": [
            "ec2:CopyImage",
            "ec2:CreateTags"
        ],
        "Resource": "arn:aws:ec2:*::image/*"
    }]
}

Esempio di IAM politica per copiare un EBS -backed AMI ma negare l'etichettatura delle nuove istantanee

L'ec2:CopySnapshotautorizzazione viene concessa automaticamente quando si ottiene l'autorizzazione. ec2:CopyImage Ciò include il permesso di etichettare le nuove istantanee di backup del bersaglio. AMI L'autorizzazione a etichettare le nuove istantanee di supporto può essere negata esplicitamente.

La seguente politica di esempio concede il permesso di copiare qualsiasi copia EBS supportataAMI, ma impedisce di taggare le nuove istantanee di backup della destinazione. AMI

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ec2:CopyImage",
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*::image/*"
        },
        {
            "Effect": "Deny",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:::snapshot/*"
        }
    ]
}

Esempio di IAM politica per copiare un'istanza archiviata e etichettare la destinazione AMI AMI

La seguente politica di esempio concede il permesso di copiare qualsiasi istanza archiviata nel bucket di origine specificato AMI nella regione specificata e di etichettare la destinazione. AMI

{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "PermissionToCopyAllImages",
            "Effect": "Allow",
            "Action": [
                "ec2:CopyImage",
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*::image/*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": [
                "arn:aws:s3:::*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:GetBucketAcl",
                "s3:PutObjectAcl",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::amis-for-account-in-region-hash"
            ]
        }
    ]
}

Per trovare l'Amazon Resource Name (ARN) del bucket di AMI origine, apri la EC2 console Amazon all'indirizzo https://console.aws.amazon.com/ec2/AMIs, scegli nel pannello di navigazione e individua il nome del bucket nella colonna Source.

Nota

L's3:CreateBucketautorizzazione è necessaria solo la prima volta che copi un'istanza archiviata AMI in una singola regione. Dopodiché, il bucket Amazon S3 già creato nella regione viene utilizzato per archiviare tutte le future copie copiate in AMIs quella regione.