Image Builder를 사용하여 교차 계정 AMI 배포 설정

계정 간에 분산AMIs된 Image Builder를 사용하려면 대상 계정 소유자가 계정에서 라는 새 IAM 역할을 생성해야 합니다EC2ImageBuilderDistributionCrossAccountRole.

계정 간 배포를 활성화하려면 역할에 Ec2ImageBuilderCrossAccountDistributionAccess 정책(을)를 연결해야 합니다. 관리형 정책에 대한 자세한 내용을 알아보려면 AWS Identity and Access Management 사용 설명서의 관리형 정책과 인라인 정책을 참조하십시오.

소스 계정 ID가 대상 계정의 IAM 역할에 연결된 신뢰 정책에 추가되었는지 확인합니다. 다음 예제는 소스 계정의 계정 ID를 지정하는 대상 계정의 신뢰 정책을 보여줍니다.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::444455556666:root"
        },
        "Action": "sts:AssumeRole"
    }]
}

리소스 기반 정책에 대한 자세한 내용은 AWS Identity and Access Management 사용 설명서를 참조하십시오.

배포하는가 암호화되어 AMI 있는 경우 대상 계정 소유자는 KMS 키를 사용할 수 있도록 계정의 EC2ImageBuilderDistributionCrossAccountRole에 다음과 같은 인라인 정책을 추가해야 합니다. Principal 섹션에는 계정 번호가 포함되어 있습니다. 이를 통해 Image Builder는를 사용하여 각 리전에 적합한 키를 AMI 사용하여 AWS KMS 를 암호화하고 복호화할 때 Image Builder를 대신하여 작업할 수 있습니다.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowRoleToPerformKMSOperationsOnBehalfOfTheDestinationAccount",
			"Effect": "Allow",
			"Action": [
				"kms:Encrypt",
				"kms:Decrypt",
				"kms:ReEncrypt*",
				"kms:GenerateDataKey*",
				"kms:DescribeKey",
				"kms:CreateGrant",
				"kms:ListGrants",
				"kms:RevokeGrant"
			],
			"Resource": "*"
		}
	]
}

인라인 정책에 대한 자세한 내용은 AWS Identity and Access Management 사용 설명서에서 인라인 정책을 참조하십시오.

launchTemplateConfigurations를 사용하여 Amazon EC2 시작 템플릿을 지정하는 경우 각 대상 계정의 EC2ImageBuilderDistributionCrossAccountRole에 다음 정책도 추가해야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateLaunchTemplateVersion",
                "ec2:ModifyLaunchTemplate"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/CreatedBy": "EC2 Image Builder"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*:*:launch-template/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CreatedBy": "EC2 Image Builder"
                }
            }
        }
    ]
}

에서 EC2 Image Builder 콘솔을 엽니다https://console.aws.amazon.com/imagebuilder/.

탐색 창에서 배포 설정을 선택합니다. 여기에는 내 계정에 생성된 배포 설정 목록이 표시됩니다.

배포 설정 페이지 상단에서 배포 설정 생성을 선택합니다. 그러면 배포 설정 생성 페이지로 이동합니다.

이미지 유형 섹션에서 출력 유형으로 Amazon Machine Image(AMI)를 선택합니다. 이것이 기본 설정입니다.

일반 섹션에서 생성하려는 배포 설정 리소스의 이름을 입력합니다(필수).

리전 설정 섹션에서 선택한 리전의 AMI 대상 계정에를 배포하려는 12자리 계정 ID를 입력하고 Enter 키를 누릅니다. 그러면 형식이 올바른지 확인한 다음 상자 아래에 입력한 계정 ID가 표시됩니다. 이 과정을 반복하여 계정을 더 추가합니다.

입력한 계정을 제거하려면 계정 ID 오른쪽에 표시된 X를 선택합니다.

각 리전의 출력 AMI 이름을 입력합니다.

필요한 추가 설정을 계속 지정하고 설정 생성을 선택하여 새 배포 설정 리소스를 생성합니다.

배포 설정 파일 구성

의 create-image 명령을 사용하여 다른 계정에 배포AMI되는 Image Builder를 AWS CLI 생성하기 전에 AmiDistributionConfiguration 설정IDs에서 대상 계정을 지정하는 DistributionConfiguration JSON 구조를 생성해야 합니다. 원본 리전에 AmiDistributionConfiguration(을)를 하나 이상 지정해야 합니다.

create-distribution-configuration.json(으)로 이름 붙인 다음 예제 파일은 해당 원본 리전의 계정 간 이미지 배포에 대한 구성을 보여줍니다.

{
	"name": "cross-account-distribution-example",
	"description": "Cross Account Distribution Configuration Example",
	"distributions": [
		{
			"amiDistributionConfiguration": {
				"targetAccountIds": ["123456789012", "987654321098"],
				"name": "Name {{ imagebuilder:buildDate }}", 
				"description": "ImageCopy Ami Copy Configuration"
			}, 
			"region": "us-west-2"
		}
	]
}

배포 설정 생성

의 create-distribution-configuration 명령을 사용하여 Image Builder 배포 설정 리소스를 생성하려면 명령에 다음 파라미터를 AWS CLI제공합니다.

aws imagebuilder create-distribution-configuration --name my distribution name --cli-input-json file://create-distribution-configuration.json