Compartilhe uma AMI com organizações ou unidades organizacionais específicas

O AWS Organizations é um serviço de gerenciamento de contas que permite consolidar várias Contas da AWS em uma só organização, que você cria e gerencia centralmente. É possível compartilhar uma AMI com uma organização ou uma unidade organizacional (UO) que você criou, além de compartilhá-la com contas específicas.

Uma organização é uma entidade que você cria para consolidar e gerenciar suas Contas da AWS. É possível organizar as contas em uma estrutura em árvore hierárquica, com uma raiz no alto e unidades organizacionais aninhadas abaixo da raiz. Cada conta pode ser adicionada diretamente na raiz ou ser colocada em uma das UOs na hierarquia. Para obter mais informações, consulte Terminologia e conceitos das organizações da AWS no Guia do usuário do AWS Organizations.

Quando você compartilha uma AMI com uma organização ou uma UO, todas as contas subordinadas ganham acesso à AMI. Por exemplo, no diagrama a seguir, a AMI é compartilhada com uma UO de nível superior (indicada pela seta no número 1). Todas as UOs e contas aninhadas sob essa UO de nível superior (indicadas pela linha pontilhada no número 2) também têm acesso à AMI. As contas na organização e UO fora da linha pontilhada (indicadas pelo número 3) não têm acesso à AMI porque não são filhas da UO com a qual a AMI é compartilhada.

Considerações

Considere as informações a seguir ao compartilhar AMIs com organizações ou unidades organizacionais específicas.

Permitir que organizações e UOs usem uma chave do KMS

Se você compartilhar uma AMI que tenha snapshots criptografados, também deverá permitir que as organizações ou UOs usem as AWS KMS keys que foram usadas para criptografar os snapshots.

Use as chaves aws:PrincipalOrgID e aws:PrincipalOrgPaths para comparar o caminho do AWS Organizations para a entidade principal que está fazendo a solicitação com o caminho na política. Essa entidade principal pode ser um usuário do IAM, um perfil do IAM, um usuário federado ou um usuário raiz da Conta da AWS. Em uma política, essa chave de condição garante que o solicitante seja um membro da conta na raiz da organização ou das UOs especificadas em AWS Organizations. Para obter mais exemplos de instruções de condição, consulte aws:PrincipalOrgID e aws:PrincipalOrgPaths no Guia do usuário do IAM.

Para obter mais informações sobre uma política de chaves, consulte Permitir que usuários de outras contas usem uma chave do KMS no Guia do desenvolvedor do AWS Key Management Service.

Para conceder a uma organização ou UO permissão para usar uma chave do KMS, adicione a seguinte instrução à política de chaves.

{
    "Sid": "Allow access for organization root",
    "Effect": "Allow",
    "Principal": "*",
    "Action": [
        "kms:Describe*",
        "kms:List*",
        "kms:Get*",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:PrincipalOrgID": "o-123example"
        }
    }
}

Para compartilhar uma chave do KMS com várias UOs, é possível usar uma política semelhante ao exemplo a seguir.

{
        "Sid": "Allow access for specific OUs and their descendants",
        "Effect": "Allow",
        "Principal": "*",
        "Action": [
            "kms:Describe*",
            "kms:List*",
            "kms:Get*",
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*"
        ],
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "aws:PrincipalOrgID": "o-123example"
            },
            "ForAnyValue:StringLike": {
                "aws:PrincipalOrgPaths": [
                    "o-123example/r-ab12/ou-ab12-33333333/*",
                    "o-123example/r-ab12/ou-ab12-22222222/*"
                ]
            }
        }
}

Compartilhar uma AMI

É possível usar o console do Amazon EC2 ou a AWS CLI para compartilhar uma AMI com uma organização ou UO.

Compartilhar uma AMI (console)

Compartilhar uma AMI (Tools for Windows PowerShell)

Use o comando Edit-EC2ImageAttribute (Tools for Windows PowerShell) para compartilhar uma AMI conforme exibido nos exemplos a seguir.

Para compartilhar uma AMI com uma organização ou uma UO

O comando a seguir concede permissões de execução para a AMI especificada à organização especificada.

PS C:\> Edit-EC2ImageAttribute -ImageId ami-0abcdef1234567890 -Attribute launchPermission -OperationType add -OrganizationArn "arn:aws:organizations::123456789012:organization/o-123example"

Para interromper o compartilhamento de uma AMI com uma organização ou uma UO

O comando a seguir remove as permissões de execução para a AMI especificada da organização especificada:

PS C:\> Edit-EC2ImageAttribute -ImageId ami-0abcdef1234567890 -Attribute launchPermission -OperationType remove -OrganizationArn "arn:aws:organizations::123456789012:organization/o-123example"

Para interromper o compartilhamento de uma AMI com todas as organizações, UOs e Contas da AWS

O comando a seguir remove todas as permissões de execução explícita e pública da AMI especificada. Observe que o proprietário da AMI sempre tem permissões de execução e, portanto, não é afetado por este comando.

PS C:\> Reset-EC2ImageAttribute -ImageId ami-0abcdef1234567890 -Attribute launchPermission

Compartilhar uma AMI (AWS CLI)

Use o comando modify-image-attribute (AWS CLI) para compartilhar uma AMI.

Compartilhar uma AMI com uma organização usando a AWS CLI

O comando modify-image-attribute concede permissões de execução para a AMI especificada para a organização especificada. Observe que especifique o ARN completo, e não apenas o ID.

aws ec2 modify-image-attribute \
    --image-id ami-0abcdef1234567890 \
    --launch-permission "Add=[{OrganizationArn=arn:aws:organizations::123456789012:organization/o-123example}]"

Para compartilhar uma AMI com uma UO usando a AWS CLI

O comando modify-image-attribute concede permissões de execução para a AMI especificada à UO especificada. Observe que especifique o ARN completo, e não apenas o ID.

aws ec2 modify-image-attribute \
    --image-id ami-0abcdef1234567890 \
    --launch-permission "Add=[{OrganizationalUnitArn=arn:aws:organizations::123456789012:ou/o-123example/ou-1234-5example}]"

Parar de compartilhar uma AMI

É possível usar o console do Amazon EC2 ou a AWS CLI para parar de compartilhar uma AMI com uma organização ou UO.

Interrupção de compartilhamento de uma AMI (console)

Parar de compartilhar uma AMI (AWS CLI)

Use os comandos modify-image-attribute ou reset-image-attribute (AWS CLI) para interromper o compartilhamento de uma AMI.

Para interromper o compartilhamento uma AMI com uma organização ou uma UO usando a AWS CLI

O comando modify-image-attribute remove as permissões de execução para a AMI especificada da organização especificada. Observe que especifique o ARN.

aws ec2 modify-image-attribute \
    --image-id ami-0abcdef1234567890 \
    --launch-permission "Remove=[{OrganizationArn=arn:aws:organizations::123456789012:organization/o-123example}]"

Para interromper o compartilhamento de uma AMI com todas as organizações, UOs e Contas da AWS usando a AWS CLI

O comando reset-image-attribute remove todas as permissões de execução explícita e pública da AMI especificada. Observe que o proprietário da AMI sempre tem permissões de execução e, portanto, não é afetado por este comando.

aws ec2 reset-image-attribute \
    --image-id ami-0abcdef1234567890 \
    --attribute launchPermission

Veja as organizações e as UOs com as quais uma AMI é compartilhada

É possível usar o console do Amazon EC2 ou a AWS CLI para verificar com quais organizações e UOs você compartilhou sua AMI.

Veja as organizações e as UOs com as quais uma AMI é compartilhada (console)

Exibir as organizações e as UOs com as quais uma AMI é compartilhada (AWS CLI)

Usando o comando describe-image-attribute (AWS CLI) e o atributo launchPermission, é possível verificar com quais organizações e UOs você compartilhou sua AMI.

Para verificar com quais organizações e UOs você compartilhou sua AMI usando a AWS CLI

O comando describe-image-attribute descreve o atributo launchPermission para a AMI especificada e retorna as organizações e as UOs com as quais você compartilhou a AMI.

aws ec2 describe-image-attribute \
    --image-id ami-0abcdef1234567890 \
    --attribute launchPermission

Exemplo de resposta

{
    "ImageId": "ami-0abcdef1234567890",
    "LaunchPermissions": [
        {
            "OrganizationalUnitArn": "arn:aws:organizations::111122223333:ou/o-123example/ou-1234-5example"
        }
    ]
}

Obter o ARN

Os ARNs de organizações e de unidades organizacionais contêm o número da conta de gerenciamento de 12 dígitos. Se você não souber o número da conta de gerenciamento, poderá descrever a organização e a unidade organizacional para obter o ARN para cada uma delas. Nos exemplos a seguir, 123456789012 é o número da conta de gerenciamento.

Antes de obter os ARNs, é necessário ter permissão para descrever organizações e unidades organizacionais. O modelo de política a seguir fornece as permissões necessárias.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:Describe*"
            ],
            "Resource": "*"
        }
    ]
}

Para obter o ARN de uma organização

Use o comando describe-organization e o parâmetro --query definido como 'Organization.Arn' para retornar apenas o ARN da organização.

aws organizations describe-organization --query 'Organization.Arn'

Exemplo de resposta

"arn:aws:organizations::123456789012:organization/o-123example"

Para obter o ARN de uma unidade organizacional

Use o comando describe-organizational-unit, especifique o ID da UO e defina o parâmetro --query como 'OrganizationalUnit.Arn' para retornar apenas o ARN da unidade organizacional.

aws organizations describe-organizational-unit --organizational-unit-id ou-1234-5example --query 'OrganizationalUnit.Arn'

Exemplo de resposta

"arn:aws:organizations::123456789012:ou/o-123example/ou-1234-5example"