View a markdown version of this page

Berechtigungen zum Kopieren von Amazon-EC2-AMIs gewähren - Amazon Elastic Compute Cloud
Beispiel für eine IAM-Richtlinie zum Kopieren eines EBS-backed AMI und zum Markieren des Ziel-AMI und der SnapshotsBeispiel für eine IAM-Richtlinie, mit der ein EBS-backed AMI kopiert, aber das Taggen der neuen Snapshots verweigert wirdBeispiel für eine IAM-Richtlinie zum Kopieren eines S3-backed Amazon-AMI und zum Markieren des Ziel-AMI

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Berechtigungen zum Kopieren von Amazon-EC2-AMIs gewähren

Um ein EBS-backed oder ein S3-backed Amazon-AMI zu kopieren, benötigen Sie die folgenden IAM-Berechtigungen:

  • ec2:CopyImage – Um das AMI zu kopieren. Für EBS-backed AMIs wird damit auch die Erlaubnis erteilt, die Backing-Snapshots des AMI zu kopieren.

  • ec2:CreateTags – So versehen Sie das Ziel-AMI mit Tags. Für EBS-backed AMIs gewährt es auch die Erlaubnis, die Backing-Snapshots des Ziel-AMIs mit Tags zu versehen.

Wenn Sie ein auf einer Instance-Speicher-gestütztes AMI kopieren, benötigen Sie die folgenden zusätzlichen IAM-Berechtigungen:

Anmerkung

Ab dem 28. Oktober 2024 können Sie Berechtigungen auf Ressourcenebene für die CopyImage Aktion auf dem Quell-AMI angeben. Resource-level Berechtigungen für das Ziel-AMI sind nach wie vor verfügbar. Weitere Informationen finden Sie CopyImagein der Tabelle unter Von Amazon EC2 definierte Aktionen in der Service Authorization Reference.

Beispiel für eine IAM-Richtlinie zum Kopieren eines EBS-backed AMI und zum Markieren des Ziel-AMI und der Snapshots

Die folgende Beispielrichtlinie gewährt Ihnen die Berechtigung, jedes EBS-backed AMI zu kopieren und das Ziel-AMI und die zugehörigen Snapshots zu taggen.

Anmerkung

Ab dem 28. Oktober 2024 können Sie Snapshots im Element Resource angeben. Weitere Informationen finden Sie CopyImagein der Tabelle unter Von Amazon EC2 definierte Aktionen in der Service Authorization Reference.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
        "Sid": "PermissionToCopyAllImages",
        "Effect": "Allow",
        "Action": [
            "ec2:CopyImage",
            "ec2:CreateTags"
        ],
        "Resource": [
            "arn:aws:ec2:*::image/*",
            "arn:aws:ec2:*::snapshot/*"
        ]
    }]
}

Beispiel für eine IAM-Richtlinie, mit der ein EBS-backed AMI kopiert, aber das Taggen der neuen Snapshots verweigert wird

Die ec2:CopySnapshot-Berechtigung wird automatisch gewährt, wenn Sie die ec2:CopyImage-Berechtigung erhalten. Die Berechtigung, die neuen Backup-Snapshots mit Tags zu versehen, kann explizit verweigert werden, wodurch der Allow-Effekt der ec2:CreateTags-Aktion außer Kraft gesetzt wird.

Die folgende Beispielrichtlinie gewährt Ihnen die Erlaubnis, jedes EBS-backed AMI zu kopieren, verweigert Ihnen jedoch, die neuen Backing-Snapshots des Ziel-AMI zu taggen.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ec2:CopyImage",
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*::image/*",
                "arn:aws:ec2:*::snapshot/*"
            ]
        },
        {
            "Effect": "Deny",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:::snapshot/*"
        }
    ]
}

Beispiel für eine IAM-Richtlinie zum Kopieren eines S3-backed Amazon-AMI und zum Markieren des Ziel-AMI

Die folgende Beispielrichtlinie gewährt Ihnen die Erlaubnis, jedes S3-backed Amazon-AMI im angegebenen Quell-Bucket in die angegebene Region zu kopieren und das Ziel-AMI zu taggen.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
            "Sid": "PermissionToCopyAllImages",
            "Effect": "Allow",
            "Action": [
                "ec2:CopyImage",
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*::image/*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": [
                "arn:aws:s3:::*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:GetBucketAcl",
                "s3:PutObjectAcl",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::amis-for-111122223333-in-us-east-2-hash"
            ]
        }
    ]
}

Um den Amazon-Ressourcennamen (ARN) des AMI-Quell-Buckets zu finden, öffnen Sie die Amazon EC2-Konsole unter https://console.aws.amazon.com/ec2/, wählen Sie im Navigationsbereich AMIs und suchen Sie den Bucket-Namen in der Spalte Source.

Anmerkung

Die s3:CreateBucket Genehmigung ist nur erforderlich, wenn Sie ein S3-backed Amazon-AMI zum ersten Mal in eine einzelne Region kopieren. Danach wird der Amazon S3-Bucket, der bereits in der Region erstellt wurde, zum Speichern aller von Ihnen zukünftig in diese Region kopierten AMIs verwendet.