As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Controle o acesso ao Amazon EBS Snapshot Lock

Por padrão, os usuários não têm permissão para trabalhar com snapshots bloqueados. Para permitir que os usuários usem bloqueios de instantâneos, você deve criar IAM políticas que concedam permissão para usar recursos e API ações específicos. Para obter mais informações, consulte Criação de IAM políticas no Guia IAM do usuário.

Permissões obrigatórias

Para trabalhar com bloqueios de snapshots, os usuários precisam das permissões a seguir.

Veja a seguir um exemplo de IAM política que dá aos usuários permissão para bloquear e desbloquear instantâneos e visualizar as configurações de bloqueio de instantâneos. Isso inclui a permissão ec2:DescribeSnapshots para usuários do console. Se algumas permissões não forem necessárias, você poderá removê-las da política.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "ec2:LockSnapshot",
            "ec2:UnlockSnapshot",
            "ec2:DescribeLockedSnapshots",
            "ec2:DescribeSnapshots"
        ]
    }]
}

Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis:

Restringir o acesso com chaves de condição

Você pode usar chaves de condição para restringir como os usuários podem bloquear snapshots.

ec2: SnapshotLockDuration

Você pode usar a chave de condição ec2:SnapshotLockDuration para restringir os usuários a durações de bloqueio específicas quando bloquearem snapshots.

O exemplo de política a seguir restringe os usuários a especificar uma duração de bloqueio entre 10 e 50 dias.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ec2:LockSnapshot",
      "Resource": "arn:aws:ec2:region::snapshot/*"
      "Condition": {
        "NumericGreaterThan" : {
          "ec2:SnapshotLockDuration" : 10
        }
        "NumericLessThan":{ 
          "ec2:SnapshotLockDuration": 50
        }
      }
    }
  ]
}

ec2: CoolOffPeriod

Você pode usar a chave de condição ec2:CoolOffPeriod para impedir que os usuários bloqueiem os snapshots no modo de conformidade sem um período de desistência.

O exemplo de política a seguir restringe os usuários a especificar um período de desistência de mais de 48 horas quando bloquearem snapshots no modo de conformidade.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ec2:LockSnapshot",
      "Resource": "arn:aws:ec2:region::snapshot/*"
      "Condition": {
        "NumericGreaterThan": {
          "ec2:CoolOffPeriod": 48
        }
      }
    }
  ]
}