Die Erkennung und Verwendung von AMIs in Amazon EC2 mit zugelassenen AMIs steuern

Um die Erkennung und Verwendung von Amazon Machine Images (AMIs) durch Benutzer in Ihrem System zu kontrollierenAWS-Konto, können Sie das Feature Zulässige AMIs verwenden. Sie geben Kriterien an, die AMIs erfüllen müssen, damit sie in Ihrem Konto sichtbar und verfügbar sind. Wenn die Kriterien aktiviert sind, können Benutzer, die Instances starten, nur AMIs sehen und darauf zugreifen, die den angegebenen Kriterien entsprechen. Sie können beispielsweise eine Liste vertrauenswürdiger AMI-Anbieter als Kriterien angeben, und nur AMIs dieser Anbieter sind sichtbar und können verwendet werden.

Bevor Sie die Einstellungen für Zulässige AMIs aktivieren, können Sie den Prüfmodus aktivieren, um in einer Vorschau anzuzeigen, welche AMIs sichtbar und nutzbar sein werden oder nicht. Auf diese Weise können Sie die Kriterien nach Bedarf verfeinern, um sicherzustellen, dass nur die vorgesehenen AMIs sichtbar und für Benutzer in Ihrem Konto verfügbar sind. Darüber hinaus können Sie den Befehl describe-instance-image-metadata ausführen, um Instances zu suchen, die mit AMIs gestartet wurden, die die angegebenen Kriterien nicht erfüllen. Diese Informationen können Ihnen bei der Entscheidung helfen, entweder Ihre Startkonfigurationen zu aktualisieren, um konforme AMIs zu verwenden (z. B. indem Sie ein anderes AMI in einer Startvorlage angeben) oder Ihre Kriterien so anzupassen, dass diese AMIs zugelassen werden.

Diese Einstellung wird auf Kontoebene konfiguriert, entweder direkt im Konto oder mithilfe einer deklarativen Richtlinie. Diese Einstellungen müssen in jeder AWS-Region konfiguriert werden, in denen Sie die Verwendung von AMIs steuern möchten. Mithilfe einer deklarativen Richtlinie können Sie die Einstellung auf mehrere Regionen gleichzeitig sowie auf mehrere Konten gleichzeitig anwenden. Wenn eine deklarative Richtlinie verwendet wird, können Sie die Einstellung nicht direkt in einem Konto ändern. In diesem Thema wird beschrieben, wie Sie die Einstellung direkt in einem Konto konfigurieren. Informationen zur Verwendung deklarativer Richtlinien finden Sie unter Deklarative Richtlinien im AWS Organizations-Benutzerhandbuch.

So funktionieren zugelassene AMIs

Um zu steuern, welche AMIs in Ihrem Konto erkannt und verwendet werden können, definieren Sie eine Reihe von Kriterien, anhand derer die AMIs bewertet werden können. Die Kriterien bestehen aus einem oder mehreren ImageCriterion, wie im folgenden Diagramm dargestellt. Eine Erklärung folgt dem Diagramm.

Die Konfiguration besteht aus drei Ebenen:

Parameter für zulässige AMIs

Sie können die folgenden Parameter konfigurieren, um ImageCriterion zu erstellen:

Die gültigen Werte und Einschränkungen für jedes Kriterium finden Sie unter ImageCriterionRequest in der API-Referenz für Amazon EC2.

Zulässige AMI-Konfigurationen

Die Kernkonfiguration für zugelassene AMIs ist die ImageCriteria-Konfiguration, die die Kriterien für zulässige AMIs definiert. Die folgende JSON-Struktur zeigt die Parameter, die angegeben werden können:

{
    "State": "enabled" | "disabled" | "audit-mode",  
    "ImageCriteria" : [
        {
            "ImageProviders": ["string",...],
            "MarketplaceProductCodes": ["string",...],           
            "ImageNames":["string",...],
            "CreationDateCondition" : {
                "MaximumDaysSinceCreated": integer
            },
            "DeprecationTimeCondition" : {
                "MaximumDaysSinceDeprecated": integer
            }
         },
         ...
}

Beispiel-ImageCriteria

Im folgenden ImageCriteria-Beispiel werden vier ImageCriterion konfiguriert. Ein AMI ist zulässig, wenn es mit einem dieser ImageCriterion übereinstimmt. Weitere Informationen über das Auswerten der Kriterien finden Sie unter So werden Kriterien bewertet.

{
    "ImageCriteria": [
        // ImageCriterion 1: Allow AWS Marketplace AMIs with product code "abcdefg1234567890"
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        // ImageCriterion 2: Allow AMIs from providers whose accounts are
        // "123456789012" OR "123456789013" AND AMI age is less than 300 days
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        // ImageCriterion 3: Allow AMIs from provider whose account is "123456789014" 
        // AND with names following the pattern "golden-ami-*"
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        // ImageCriterion 4: Allow AMIs from Amazon or verified providers 
        // AND which aren't deprecated
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ]
}

So werden Kriterien bewertet

In der folgenden Tabelle werden die Bewertungsregeln erläutert, mit denen festgelegt wird, ob ein AMI zulässig ist, und es wird gezeigt, wie der Operator AND bzw. OR auf jeder Ebene angewendet wird:

Sehen wir uns anhand der obigen Bewertungsregeln an, wie diese auf Beispiel-ImageCriteria angewendet werden können:

Einschränkungen

Das ImageCriteria enthält bis zu:

Jedes ImageCriterion enthält bis zu:

Beispiel für Grenzwerte

Unter Verwendung des Vorhergehenden Beispiel-ImageCriteria:

Zulässige AMI-Vorgänge

Das Feature Zulässige AMIs verfügt über drei Betriebsstatus für die Verwaltung der Image-Kriterien: Aktiviert, Deaktiviert und Prüfmodus. Diese ermöglichen es Ihnen, die Image-Kriterien zu aktivieren oder zu deaktivieren oder sie nach Bedarf zu überprüfen.

Bewährte Methoden für die Implementierung von „Zulässige AMIs“

Beachten Sie bei der Implementierung von „Zulässige AMIs“ diese bewährten Methoden, um einen reibungslosen Übergang zu gewährleisten und potenzielle Störungen in Ihrer AWS-Umgebung zu minimieren.

Erforderliche IAM-Berechtigungen

Um das Feature „Zulässige AMIs“ zu verwenden, benötigen Sie die folgenden IAM-Berechtigungen: