使用映像建置器設定跨帳戶 AMI 分佈

若要使用分散在帳戶之間的映像建置器 AMIs，目的地帳戶擁有者必須在其帳戶中建立新的 IAM 角色，稱為 EC2ImageBuilderDistributionCrossAccountRole。

他們必須將 Ec2ImageBuilderCrossAccountDistributionAccess 政策 連接至 角色，才能啟用跨帳戶分佈。如需受管政策的詳細資訊，請參閱AWS Identity and Access Management 《 使用者指南》中的受管政策和內嵌政策。

確認來源帳戶 ID 已新增至連接到目的地帳戶的 IAM 角色的信任政策。下列範例顯示目的地帳戶中的信任政策，指定來源帳戶中的帳戶 ID。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::444455556666:root"
        },
        "Action": "sts:AssumeRole"
    }]
}

如需信任政策的詳細資訊，請參閱AWS Identity and Access Management 《 使用者指南》中的資源型政策。

如果您分發的 AMI 已加密，目的地帳戶擁有者必須將下列內嵌政策新增至其帳戶中EC2ImageBuilderDistributionCrossAccountRole的 ，以便他們可以使用您的 KMS 金鑰。Principal 區段包含其帳戶號碼。這可讓 Image Builder 使用每個區域的合適金鑰 AWS KMS 來加密和解密 AMI 時，代表他們採取行動。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowRoleToPerformKMSOperationsOnBehalfOfTheDestinationAccount",
			"Effect": "Allow",
			"Action": [
				"kms:Encrypt",
				"kms:Decrypt",
				"kms:ReEncrypt*",
				"kms:GenerateDataKey*",
				"kms:DescribeKey",
				"kms:CreateGrant",
				"kms:ListGrants",
				"kms:RevokeGrant"
			],
			"Resource": "*"
		}
	]
}

如需內嵌政策的詳細資訊，請參閱AWS Identity and Access Management 《 使用者指南》中的內嵌政策。

如果您使用 launchTemplateConfigurations 來指定 Amazon EC2 啟動範本，您還必須在EC2ImageBuilderDistributionCrossAccountRole每個目的地帳戶中將下列政策新增至您的 。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateLaunchTemplateVersion",
                "ec2:ModifyLaunchTemplate"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/CreatedBy": "EC2 Image Builder"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*:*:launch-template/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CreatedBy": "EC2 Image Builder"
                }
            }
        }
    ]
}

開啟 EC2 Image Builder 主控台，位於 https://console.aws.amazon.com/imagebuilder/。

從導覽窗格中選擇分佈設定。這會顯示在您帳戶下建立的分佈設定清單。

在分佈設定頁面頂端，選擇建立分佈設定。這會帶您前往建立分佈設定頁面。

在映像類型區段中，選擇 Amazon Machine Image (AMI) 作為輸出類型。這是預設設定。

在一般區段中，輸入您要建立的分佈設定資源名稱 (必要)。

在區域設定區段中，輸入您要在所選區域的目標帳戶中將 AMI 分發到的 12 位數帳戶 ID，然後按 Enter。這會檢查格式是否正確，然後顯示您在方塊下方輸入的帳戶 ID。重複此程序以新增更多帳戶。

若要移除您輸入的帳戶，請選擇帳戶 ID 右側的 X。

輸入每個區域的輸出 AMI 名稱。

繼續指定您需要的任何其他設定，然後選擇建立設定以建立新的分佈設定資源。

設定分佈設定檔案

在 中使用 create-image命令 AWS CLI 來建立分佈至另一個帳戶的映像建置器 AMI 之前，您必須先建立 DistributionConfiguration JSON 結構，在AmiDistributionConfiguration設定中指定目標帳戶 IDs。您必須在AmiDistributionConfiguration來源區域中指定至少一個。

下列名為 的範例檔案create-distribution-configuration.json會顯示來源區域中跨帳戶映像分佈的組態。

{
	"name": "cross-account-distribution-example",
	"description": "Cross Account Distribution Configuration Example",
	"distributions": [
		{
			"amiDistributionConfiguration": {
				"targetAccountIds": ["123456789012", "987654321098"],
				"name": "Name {{ imagebuilder:buildDate }}", 
				"description": "ImageCopy Ami Copy Configuration"
			}, 
			"region": "us-west-2"
		}
	]
}

建立分佈設定

若要使用 中的 create-distribution-configuration 命令建立 Image Builder 分佈設定資源 AWS CLI，請在 命令中提供下列參數：

aws imagebuilder create-distribution-configuration --name my distribution name --cli-input-json file://create-distribution-configuration.json