View a markdown version of this page

Identifica le tue risorse che fanno riferimento ad AMI specificate - Amazon Elastic Compute Cloud
Risorse supportateCome funzionano i controlli dei riferimenti AMIAutorizzazioni IAM richiesteFasi per verificare i riferimenti AMI

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Identifica le tue risorse che fanno riferimento ad AMI specificate

Puoi identificare AWS le tue risorse che fanno riferimento a specifiche Amazon Machine Images (AMI), indipendentemente dal fatto che le AMI siano pubbliche o private o da chi le possiede. Questa visibilità ti aiuta a garantire che le tue risorse utilizzino le AMI conformi più recenti.

Vantaggi principali

Controllare i riferimenti AMI ti aiuta a:

  • Controllare l’utilizzo delle AMI nel tuo account.

  • Controllare dove viene fatto riferimento a specifiche AMI.

  • Garantire la conformità aggiornando le tue risorse in modo che facciano riferimento alle AMI più recenti.

 

Risorse supportate

I riferimenti all’AMI possono essere controllati in:

  • Istanze EC2

  • Modelli di avvio

  • Parametri SSM

  • ricette di immagini Image Builder

  • ricette di container Image Builder

Come funzionano i controlli dei riferimenti AMI

Funzionamento di base

Quando esegui un controllo dei riferimenti AMI:

  • Specifichi quali AMI controllare.

  • Scegli i tipi di risorse da scansionare.

  • Ricevi un elenco delle tue risorse che si riferiscono alle AMI specificate.

Selezione dei tipi di risorsa

Nella console, selezioni i tipi di risorsa da scansionare.

Nella CLI, specifichi i tipi di risorse da scansionare utilizzando uno o entrambi i seguenti parametri CLI:

  • IncludeAllResourceTypes: esegue la scansione di tutti i tipi di risorse supportati.

  • ResourceTypes: esegue la scansione dei tipi di risorse specificati.

Ambito di risposta

Puoi definire l’ambito della risposta per le istanze EC2 e i modelli di avvio personalizzando i valori ResourceTypeOptions utilizzando il parametro ResourceTypes. Sia la console che il parametro IncludeAllResourceTypes utilizzano i valori delle opzioni predefiniti. Quando ResourceTypes e IncludeAllResourceTypes vengono utilizzati insieme, i valori dell’opzione ResourceTypes hanno la precedenza sui valori predefiniti.

Di seguito sono riportati i valori predefiniti:

Tipo di risorsa Opzione di definizione dell’ambito (OptionName) Scopo Valori predefiniti per OptionValue e console
Istanze EC2 state-name Filtra per stato dell’istanza pending, running, shutting-down, terminated, stopping, stopped (tutti gli stati)
Modelli di avvio version-depth Specifica il numero di versioni del modello di avvio da controllare (a partire dalla versione più recente) 10 (versioni più recenti)

Autorizzazioni IAM richieste

Per utilizzare l’API DescribeImageReferences e identificare le tue risorse che fanno riferimento a AMI specifiche, hai bisogno dei seguenti permessi IAM per descrivere le risorse:

  • ec2:DescribeInstances

  • ec2:DescribeLaunchTemplates

  • ec2:DescribeLaunchTemplateVersions

  • ssm:DescribeParameters

  • ssm:GetParameters

  • imagebuilder:ListImageRecipes

  • imagebuilder:ListContainerRecipes

  • imagebuilder:GetContainerRecipe

Esempio di politica IAM per l'utilizzo di DescribeImageReferences "Hello, World!"

La seguente policy di esempio concede le autorizzazioni per utilizzare l’API DescribeImageReferences, che include le autorizzazioni per descrivere istanze EC2, modelli di avvio, parametri Systems Manager, ricette immagine Image Builder e ricette container Image Builder.

JSON
{
	"Version":"2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": "ec2:DescribeImageReferences",
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:DescribeInstances",
				"ec2:DescribeLaunchTemplates",
				"ec2:DescribeLaunchTemplateVersions",
				"ssm:DescribeParameters",
				"ssm:GetParameters",
				"imagebuilder:ListImageRecipes",
				"imagebuilder:ListContainerRecipes",
				"imagebuilder:GetContainerRecipe"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": [
						"ec2-images.amazonaws.com"
					]
				}
			}
		}
	]
}
Importante

Consigliamo vivamente di utilizzare la policy AWS gestita AmazonEC2ImageReferencesAccessPolicy invece di crearla tu stesso. Creare una policy IAM personalizzata che fornisca solo le autorizzazioni necessarie richiede tempo e competenze specifiche e richiederà aggiornamenti man mano che saranno disponibili nuovi tipi di risorse.

La policy gestita AmazonEC2ImageReferencesAccessPolicy

  • Concede tutte le autorizzazioni necessarie per utilizzare l’API DescribeImageReferences (tra cui le autorizzazioni per descrivere istanze EC2, modelli di avvio, parametri Systems Manager, ricette di container e immagini Image Builder).

  • Supporta automaticamente nuovi tipi di risorse non appena diventano disponibili (particolarmente importante quando si utilizza il parametro IncludeAllResourceTypes).

Puoi associare la policy AmazonEC2ImageReferencesAccessPolicy alle identità IAM (utenti, gruppi e ruoli).

Per vedere le autorizzazioni incluse in questa policy, consulta AmazonEC2ImageReferencesAccessPolicy nella Guida di riferimento sulle policy gestite da AWS .

Fasi per verificare i riferimenti AMI

Utilizza le seguenti procedure per identificare quali delle tue AWS risorse fanno riferimento alle AMI specificate.

Console
Per identificare le risorse che fanno riferimento ad AMI specificate

  1. Apri la console Amazon EC2 all'indirizzo https://console.aws.amazon.com/ec2/.

  2. Nel riquadro di navigazione scegliere AMIs (AMI).

  3. Seleziona una o più AMI per verificare i riferimenti.

  4. Seleziona Azioni, Utilizzo delle AMI, Visualizza risorse di riferimento.

  5. Nella pagina Visualizza risorse si riferiscono alle AMI selezionate:

    1. Per Tipi di risorsa, seleziona uno o più tipi di risorse.

    2. Seleziona Visualizza risorse.

  6. Viene visualizzata la sezione Risorse che si riferiscono alle AMI selezionate. L’elenco mostra le risorse che si riferiscono alle AMI specificate. Ogni riga fornisce le seguenti informazioni:

    • ID dell’AMI: l’ID dell’AMI a cui viene fatto riferimento.

    • Tipo di risorsa: il tipo di risorsa che fa riferimento all’AMI.

    • ID della risorsa: l’ID della risorsa che fa riferimento all’AMI.

AWS CLI
Per controllare i riferimenti alle AMI per tipi di risorse specifici

Utilizza il comando describe-image-references con il parametro --resource-types. Nell’esempio seguente vengono controllate le istanze EC2 (ambito di applicazione in base allo stato dell’istanza), i modelli di avvio (ambito di applicazione alle 20 versioni più recenti dei modelli di avvio) e altri tipi di risorse specifici.

aws ec2 describe-image-references \
    --image-ids ami-0abcdef1234567890 ami-1234567890abcdef0 \
    --resource-types \
        'ResourceType=ec2:Instance,ResourceTypeOptions=[{OptionName=state-name,OptionValues=[running,pending]}]' \
        'ResourceType=ec2:LaunchTemplate,ResourceTypeOptions=[{OptionName=version-depth,OptionValues=[20]}]' \
        'ResourceType=ssm:Parameter' \
        'ResourceType=imagebuilder:ImageRecipe' \
        'ResourceType=imagebuilder:ContainerRecipe'

Di seguito è riportato un output di esempio.

{
    "ImageReferences": [
        {
            "ImageId": "ami-0abcdef1234567890",
            "ResourceType": "ec2:Instance",
            "Arn": "arn:aws:ec2:us-east-1:123456789012:instance/i-1234567890abcdef0"
        },
        {
            "ImageId": "ami-1234567890abcdef0",
            "ResourceType": "ec2:LaunchTemplate",
            "Arn": "arn:aws:ec2:us-east-1:123456789012:launch-template/lt-1234567890abcdef0"
        }
    ]
}
Per controllare i riferimenti alle AMI per tutti i tipi di risorse supportati

Utilizza il comando describe-image-references con il parametro --include-all-resource-types.

aws ec2 describe-image-references \
    --image-ids ami-0abcdef1234567890 ami-1234567890abcdef0 \
    --include-all-resource-types
Per controllare i riferimenti alle AMI per tutti i tipi di risorse supportati e opzioni specifiche

Utilizza il comando describe-image-references con i parametri --include-all-resource-types e --resource-types. Questo esempio controlla tutti i tipi di risorse, limitando la risposta alle istanze EC2 in esecuzione o in sospeso.

aws ec2 describe-image-references \
    --image-ids ami-0abcdef1234567890 ami-1234567890abcdef0 \
    --include-all-resource-types \
    --resource-types 'ResourceType=ec2:Instance,ResourceTypeOptions=[{OptionName=state-name,OptionValues=[running,pending]}]'
PowerShell
Per controllare i riferimenti alle AMI per tipi di risorse specifici

Utilizza il Get-EC2ImageReference cmdlet con il parametro. -ResourceType Nell’esempio seguente vengono controllate le istanze EC2 (ambito di applicazione in base allo stato dell’istanza), i modelli di avvio (ambito di applicazione alle 20 versioni più recenti dei modelli di avvio) e altri tipi di risorse specifici.

Get-EC2ImageReference `
    -ImageId 'ami-0abcdef1234567890', 'ami-1234567890abcdef0' `
    -ResourceType @(
        @{
            ResourceType = 'ec2:Instance'
            ResourceTypeOptions = @(
                @{
                    OptionName = 'state-name'
                    OptionValues = @('running', 'pending')
                }
            )
        },
        @{
            ResourceType = 'ec2:LaunchTemplate'
            ResourceTypeOptions = @(
                @{
                    OptionName = 'version-depth'
                    OptionValues = @('20')
                }
            )
        },
        @{
            ResourceType = 'ssm:Parameter'
        },
        @{
            ResourceType = 'imagebuilder:ImageRecipe'
        },
        @{
            ResourceType = 'imagebuilder:ContainerRecipe'
        }
    )
Per controllare i riferimenti alle AMI per tutti i tipi di risorse supportati

Utilizzare il Get-EC2ImageReference cmdlet con il parametro. -IncludeAllResourceTypes

Get-EC2ImageReference `
    -ImageId 'ami-0abcdef1234567890', 'ami-1234567890abcdef0' `
    -IncludeAllResourceTypes
Per controllare i riferimenti alle AMI per tutti i tipi di risorse supportati e opzioni specifiche

Utilizzare il Get-EC2ImageReference cmdlet con entrambi i parametri e. -IncludeAllResourceTypes -ResourceType Questo esempio controlla tutti i tipi di risorse, limitando la risposta alle istanze EC2 in esecuzione o in sospeso.

Get-EC2ImageReference `
    -ImageId 'ami-0abcdef1234567890', 'ami-1234567890abcdef0' `
    -IncludeAllResourceTypes `
    -ResourceType @(
        @{
            ResourceType = 'ec2:Instance'
            ResourceTypeOptions = @(
                @{
                    OptionName = 'state-name'
                    OptionValues = @('running', 'pending')
                }
            )
        }
    )