View a markdown version of this page

EC2-Richtliniensyntax und Beispiele - AWS Organizations
ÜberlegungenSyntax für EC2-RichtlinienUnterstützte EC2-Richtlinien

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

EC2-Richtliniensyntax und Beispiele

Diese Seite beschreibt die EC2-Richtliniensyntax und enthält Beispiele.

Überlegungen

  • Wenn Sie ein Dienstattribut mithilfe einer EC2-Richtlinie konfigurieren, kann sich dies auf mehrere APIs auswirken. Alle nicht konformen Aktionen schlagen fehl.

  • Kontoadministratoren können den Wert des Dienstattributs auf der Ebene einzelner Konten nicht ändern.

Syntax für EC2-Richtlinien

Eine EC2-Richtlinie ist eine Klartextdatei, die gemäß den JSON-Regeln strukturiert ist. http://json.org Die Syntax für EC2-Richtlinien folgt der Syntax für alle deklarativen Richtlinientypen. Eine vollständige Erläuterung dieser Syntax finden Sie unter Richtliniensyntax und Vererbung für deklarative Richtlinientypen. Dieses Thema konzentriert sich auf die Anwendung dieser allgemeinen Syntax auf die spezifischen Anforderungen des EC2-Richtlinientyps.

Das folgende Beispiel zeigt die grundlegende EC2-Richtliniensyntax:

{
  "ec2_attributes": {
    "exception_message": {
      "@@assign": "Your custom error message.https://myURL"
    }
  }
}

  • Der Schlüsselname des Feldes ec2_attributes. Deklarative Richtlinien beginnen immer mit einem festen Schlüsselnamen für das angegebene Objekt. AWS-Service Er befindet sich in der obersten Zeile der aufgeführten Beispielrichtlinie.

  • Unter können Sie verwendenec2_attributes, exception_message um eine benutzerdefinierte Fehlermeldung festzulegen. Weitere Informationen finden Sie unter Benutzerdefinierte Fehlermeldungen für EC2-Richtlinien.

  • Unter ec2_attributes können Sie eine oder mehrere der unterstützten EC2-Richtlinien einfügen. Diese Schemas finden Sie unter. Unterstützte EC2-Richtlinien

Unterstützte EC2-Richtlinien

Die folgenden AWS-Services und -Attribute werden von EC2-Richtlinien unterstützt. In einigen der folgenden Beispiele kann die JSON-Leerzeichenformatierung komprimiert sein, um Platz zu sparen.

  • VPC: Blockieren Sie den öffentlichen Zugriff

  • Serieller Zugriff auf die Konsole

  • Öffentlicher Zugriff auf Image-Block

  • Einstellungen für zulässige Bilder

  • Instance-Metadaten

  • Snapshot: Öffentlichen Zugriff blockieren

  • VPC-Verschlüsselungssteuerungen

VPC Block Public Access

Auswirkung der Richtlinie

Steuert, ob Ressourcen in Amazon-VPCs und Subnetzen das Internet über Internet-Gateways (IGWs) erreichen können. Weitere Informationen finden Sie unter Konfiguration für den Internetzugang im Amazon Virtual Private Cloud-Benutzerhandbuch.

Inhalt der Richtlinie 

{
  "ec2_attributes": {
    "vpc_block_public_access": {
      "internet_gateway_block": {
        "mode": {
          "@@assign": "block_ingress"
        },
        "exclusions_allowed": {
          "@@assign": "enabled"
        }
      }
    }
  }
}

Die folgenden Felder sind für dieses Attribut verfügbar:

  • "internet_gateway":

    • "mode":

      • "off": VPC BPA ist nicht aktiviert.

      • "block_ingress": Der gesamte Internetverkehr zu den VPCs (mit Ausnahme von VPCs oder Subnetzen, die ausgeschlossen sind) ist blockiert. Nur der Datenverkehr von und zu NAT-Gateways und Internet-Gateways nur für ausgehenden Verkehr wird zugelassen, da diese Gateways nur den Aufbau von ausgehenden Verbindungen erlauben.

      • "block_bidirectional": Der gesamte Datenverkehr zu und von Internet-Gateways und Internet-Gateways, die nur für ausgehenden Verkehr bestimmt sind (mit Ausnahme der ausgeschlossenen VPCs und Subnetze), ist blockiert.

  • "exclusions_allowed": Ein Ausschluss ist ein Modus, der auf eine einzelne VPC oder ein einzelnes Subnetz angewendet werden kann, wodurch diese vom VPC-BPA-Modus des Kontos ausgenommen wird und bidirektionalen Zugriff oder nur ausgehenden Zugriff ermöglicht.

    • "enabled": Ausschlüsse können vom Konto erstellt werden.

    • "disabled": Ausschlüsse können nicht vom Konto erstellt werden.

    Anmerkung

    Sie können das Attribut verwenden, um zu konfigurieren, ob Ausschlüsse zulässig sind, aber Sie können keine Ausschlüsse mit diesem Attribut selbst erstellen. Um Ausschlüsse zu erstellen, müssen Sie sie in dem Konto erstellen, dem die VPC gehört. Weitere Informationen zum Erstellen von VPC-BPA-Ausschlüssen finden Sie unter Ausnahmen erstellen und löschen im Amazon VPC-Benutzerhandbuch.

Überlegungen

Wenn Sie dieses Attribut in einer EC2-Richtlinie verwenden, können Sie die folgenden Operationen nicht verwenden, um die erzwungene Konfiguration für die Konten im Geltungsbereich zu ändern. Diese Liste erhebt keinen Anspruch auf Vollständigkeit:

  • ModifyVpcBlockPublicAccessOptions

  • CreateVpcBlockPublicAccessExclusion

  • ModifyVpcBlockPublicAccessExclusion

Serial Console Access

Politische Wirkung

Steuert, ob auf die serielle EC2-Konsole zugegriffen werden kann. Weitere Informationen zur seriellen EC2-Konsole finden Sie unter EC2 Serial Console im Amazon Elastic Compute Cloud-Benutzerhandbuch.

Inhalt der Richtlinie 

{
  "ec2_attributes": {
    "serial_console_access": {
      "status": {
        "@@assign": "enabled"
      }
    }
  }
}

Die folgenden Felder sind für dieses Attribut verfügbar:

  • "status":

    • "enabled": Der Zugriff auf die serielle EC2-Konsole ist zulässig.

    • "disabled": Der Zugriff auf die serielle EC2-Konsole ist gesperrt.

Überlegungen

Wenn Sie dieses Attribut in einer EC2-Richtlinie verwenden, können Sie die folgenden Operationen nicht verwenden, um die erzwungene Konfiguration für die Konten im Geltungsbereich zu ändern. Diese Liste erhebt keinen Anspruch auf Vollständigkeit:

  • EnableSerialConsoleAccess

  • DisableSerialConsoleAccess

Image Block Public Access

Politische Wirkung

Steuert, ob Amazon Machine Images (AMIs) öffentlich geteilt werden können. Weitere Informationen zu AMIs finden Sie unter Amazon Machine Images (AMIs) im Amazon Elastic Compute Cloud-Benutzerhandbuch.

Inhalt der Richtlinie 

{
  "ec2_attributes": {
    "image_block_public_access": {
      "state": {
        "@@assign": "block_new_sharing"
      }
    }
  }
}

Die folgenden Felder sind für dieses Attribut verfügbar:

  • "state":

    • "unblocked": Keine Einschränkungen für das öffentliche Teilen von AMIs.

    • "block_new_sharing": Blockiert das neue öffentliche Teilen von AMIs. AMIs, die bereits öffentlich geteilt wurden, bleiben öffentlich verfügbar.

Überlegungen

Wenn Sie dieses Attribut in einer EC2-Richtlinie verwenden, können Sie die folgenden Operationen nicht verwenden, um die erzwungene Konfiguration für die Konten im Geltungsbereich zu ändern. Diese Liste erhebt keinen Anspruch auf Vollständigkeit:

  • EnableImageBlockPublicAccess

  • DisableImageBlockPublicAccess

Allowed Images Settings

Politische Wirkung

Steuert die Erkennung und Verwendung von Amazon Machine Images (AMI) in Amazon EC2 mit zugelassenen AMIs. Weitere Informationen zu AMIs finden Sie unter Steuern der Erkennung und Verwendung von AMIs in Amazon EC2 mit zugelassenen AMIs im Amazon Elastic Compute Cloud-Benutzerhandbuch.

Inhalt der Richtlinie

Die folgenden Felder sind für dieses Attribut verfügbar:

{
  "ec2_attributes": {
    "allowed_images_settings": {
      "state": {
        "@@assign": "enabled"
      },
      "image_criteria": {
        "criteria_1": {
          "marketplace_product_codes": {
            "@@append": [
              "abcdefg1234567890"
            ]
          }
        },
        "criteria_2": {
          "allowed_image_providers": {
            "@@append": [
              "123456789012",
              "123456789013"
            ]
          },
          "creation_date_condition": {
            "maximum_days_since_created": {
              "@@assign": 300
            }
          }
        },
        "criteria_3": {
          "allowed_image_providers": {
            "@@assign": [
              "123456789014"
            ]
          },
          "image_names": {
            "@@assign": [
              "golden-ami-*"
            ]
          }
        },
        "criteria_4": {
          "allowed_image_providers": {
            "@@assign": [
              "amazon"
            ]
          },
          "deprecation_time_condition": {
            "maximum_days_since_deprecated": {
              "@@assign": 0
            }
          }
        },
        "criteria_5": {
          "image_watermarks": {
            "image_watermark_1": {
              "watermark_key": {
                "@@assign": "123456789015:approved-production-*"
              },
              "source_image_region": {
                "@@assign": "us-east-1"
              },
              "maximum_days_since_source_image_created": {
                "@@assign": 365
              },
              "maximum_days_since_watermark_created": {
                "@@assign": 90
              }
            },
            "image_watermark_2": {
              "watermark_key": {
                "@@assign": "123456789016:security-scanned"
              }
            }
          }
        }
      }
    }
  }
}

  • "state"(erforderlich):

    • "enabled": Das Attribut ist aktiv und wird durchgesetzt.

    • "disabled": Das Attribut ist inaktiv und wird nicht erzwungen.

    • "audit_mode": Das Attribut befindet sich im Überwachungsmodus. Das bedeutet, dass nicht konforme Bilder erkannt, deren Verwendung jedoch nicht blockiert wird.

  • "image_criteria"(optional): Eine Liste von Kriterien. Unterstützt bis zu 10 Kriterien mit einem Namen von Kriteria_1 bis Kriteria_10. Jedes Kriterium kann einen oder mehrere der folgenden Filter enthalten:

    • "allowed_image_providers": Eine Liste mit bis zu 200 Einträgen. Jeder Eintrag ist eine 12-stellige Konto-ID oder ein Eigentümeralias von amazonaws_marketplace, oderaws_backup_vault.

    • "image_names": Eine Liste mit bis zu 50 erlaubten Bildnamen. Namen können Platzhalter (?und*) enthalten. Länge: 1—128 Zeichen. Bei?, das Minimum sind 3 Zeichen.

    • "marketplace_product_codes": Eine Liste mit bis zu 50 AWS Marketplace-Produktcodes für zulässige Bilder. Länge: 1—25 Zeichen. Gültige Zeichen: Buchstaben (A—Z, a—z) und Zahlen (0—9).

    • "creation_date_condition": Das Höchstalter für zulässige Bilder.

      • "maximum_days_since_created": Die maximale Anzahl von Tagen, die seit der Erstellung des Images vergangen sind. Gültiger Bereich: 0—2147483647.

    • "deprecation_time_condition": Der maximale Zeitraum seit der Abschaffung zulässiger Bilder.

      • "maximum_days_since_deprecated": Die maximale Anzahl von Tagen, die seit der Einstellung des Images als veraltet verstrichen sind. Gültiger Bereich: 0—2147483647.

    • "image_watermarks": Eine Sammlung von Wasserzeichenfiltern, denen ein Bild entsprechen muss. Jeder Filter ist nach benanntimage_watermark_1. image_watermark_50 Das Bild wird durchgelassen, wenn ein Filter mit einem Wasserzeichen auf dem Bild übereinstimmt. Innerhalb eines Filters müssen alle angegebenen Felder demselben Wasserzeichen entsprechen. Maximal 50 Filter pro Kriterium.

      Felder innerhalb jedes Filters:

      • "watermark_key"(erforderlich): Der Wasserzeichenschlüssel im Format<account-id>:<watermark-name>. Bei der Konto-ID kann es sich um eine exakte 12-stellige AWS Konto-ID oder um ein Muster mit Platzhaltern (und) handeln. * ? Der Name des Wasserzeichens muss 3—128 Zeichen lang sein. Unterstützt Platzhalter (und). * ? Gültige Zeichen: Buchstaben (A—Z, a—z), Zahlen (0—9), Leerzeichen und. () []. / - ' @ _

      • "source_image_region"(optional): Die AWS Region, in der das Wasserzeichen ursprünglich erstellt wurde. Unterstützt Platzhalter (*und?).

      • "maximum_days_since_source_image_created"(optional): Die maximale Anzahl von Tagen, die seit der Erstellung des Quell-Images vergangen sind. Gültiger Bereich: 0—2147483647.

      • "maximum_days_since_watermark_created"(optional): Die maximale Anzahl von Tagen, die seit dem Hinzufügen des Wasserzeichens vergangen sind. Gültiger Bereich: 0—2147483647.

Überlegungen

Wenn Sie dieses Attribut in einer EC2-Richtlinie verwenden, können Sie die erzwungene Konfiguration für die Konten im Geltungsbereich nicht mit den folgenden Vorgängen ändern. Diese Liste erhebt keinen Anspruch auf Vollständigkeit:

  • EnableAllowedImagesSettings

  • ReplaceImageCriteriaInAllowedImagesSettings

  • DisableAllowedImagesSettings

Instance Metadata

Politische Wirkung

Steuert die IMDS-Standardeinstellungen und die IMDSv2-Durchsetzung für alle neuen EC2-Instance-Starts. Weitere Informationen zu IMDS-Standardwerten und zur IMDSv2-Durchsetzung finden Sie im Amazon EC2-Benutzerhandbuch unter Verwenden von Instance-Metadaten zur Verwaltung Ihrer EC2-Instance.

Inhalt der Richtlinie

Die folgenden Felder sind für dieses Attribut verfügbar:

{
  "ec2_attributes": {
    "instance_metadata_defaults": {
      "http_tokens": {
        "@@assign": "required"
      },
      "http_put_response_hop_limit": {
        "@@assign": "4"
      },
      "http_endpoint": {
        "@@assign": "enabled"
      },
      "instance_metadata_tags": {
        "@@assign": "enabled"
      },
      "http_tokens_enforced": {
        "@@assign": "enabled"
      }
    }
  }
}

  • "http_tokens":

    • "no_preference": Es gelten andere Standardwerte. Zum Beispiel AMI-Standardwerte, falls zutreffend.

    • "required": IMDSv2 muss verwendet werden. IMDSv1 ist nicht zulässig.

    • "optional": Sowohl IMDSv1 als auch IMDSv2 sind zulässig.

    Anmerkung

    Version der Metadaten

    Stellen Sie vor der Einstellung http_tokens auf required (IMDSv2 muss verwendet werden) sicher, dass keine Ihrer Instances IMDSv1-Aufrufe tätigt. Weitere Informationen finden Sie unter Schritt 1: Identifizieren Sie Instances mit IMDSv2=optional und überprüfen Sie die IMDSv1-Nutzung im Amazon EC2-Benutzerhandbuch.

  • "http_put_response_hop_limit":

    • "Integer": Ganzzahlwert von -1 bis 64, der die maximale Anzahl von Hops darstellt, die das Metadaten-Token zurücklegen kann. Um keine Präferenz anzugeben, geben Sie -1 an.

    Anmerkung

    Grenzwert für Hopfen

    Wenn auf gesetzt http_tokens istrequired, wird empfohlen, einen http_put_response_hop_limit Wert von mindestens 2 festzulegen. Weitere Informationen finden Sie unter Überlegungen zum Zugriff auf Instance-Metadaten im Amazon Elastic Compute Cloud-Benutzerhandbuch.

  • "http_endpoint":

    • "no_preference": Es gelten andere Standardwerte. Zum Beispiel AMI-Standardwerte, falls zutreffend.

    • "enabled": Auf den Endpunkt des Instanz-Metadatendiensts kann zugegriffen werden.

    • "disabled": Auf den Endpunkt des Instanz-Metadatendiensts kann nicht zugegriffen werden.

  • "instance_metadata_tags":

    • "no_preference": Es gelten andere Standardwerte. Zum Beispiel AMI-Standardwerte, falls zutreffend.

    • "enabled": Auf Instanz-Tags kann über Instance-Metadaten zugegriffen werden.

    • "disabled": Auf Instanz-Tags kann nicht über Instanz-Metadaten zugegriffen werden.

  • "http_tokens_enforced":

    • "no_preference": Es gelten andere Standardwerte. Zum Beispiel AMI-Standardwerte, falls zutreffend.

    • "enabled": IMDSv2 muss verwendet werden. Versuche, eine IMDSv1-Instanz zu starten oder IMDSv1 auf vorhandenen Instances zu aktivieren, schlagen fehl.

    • "disabled": Sowohl IMDSv1 als auch IMDSv2 sind zulässig.

    Warnung

    IMDSv2-Durchsetzung

    Wenn die IMDSv2-Erzwingung aktiviert und gleichzeitig IMDSv1 und IMDSv2 (Token optional) zugelassen werden, führt dies zu Startfehlern, sofern IMDSv1 nicht explizit deaktiviert wird, entweder durch Startparameter oder AMI-Standardeinstellungen. Weitere Informationen finden Sie unter Das Starten einer IMDSv1-enabled Instance schlägt fehl im Amazon EC2-Benutzerhandbuch.

Snapshot Block Public Access

Auswirkung der Richtlinie

Steuert, ob Amazon EBS-Snapshots öffentlich zugänglich sind. Weitere Informationen zu EBS-Snapshots finden Sie unter Amazon EBS-Snapshots im Amazon Elastic Block Store-Benutzerhandbuch.

Inhalt der Richtlinie 

{
  "ec2_attributes": {
    "snapshot_block_public_access": {
      "state": {
        "@@assign": "block_new_sharing"
      }
    }
  }
}

Die folgenden Felder sind für dieses Attribut verfügbar:

  • "state":

    • "block_all_sharing": Blockiert das gesamte öffentliche Teilen von Schnappschüssen. Schnappschüsse, die bereits öffentlich geteilt wurden, werden als privat behandelt und sind nicht mehr öffentlich verfügbar.

    • "block_new_sharing": Blockiert das neue öffentliche Teilen von Schnappschüssen. Schnappschüsse, die bereits öffentlich geteilt wurden, bleiben öffentlich verfügbar.

    • "unblocked": Keine Einschränkungen für das öffentliche Teilen von Schnappschüssen.

Überlegungen

Wenn Sie dieses Attribut in einer EC2-Richtlinie verwenden, können Sie die folgenden Operationen nicht verwenden, um die erzwungene Konfiguration für die Konten im Geltungsbereich zu ändern. Diese Liste erhebt keinen Anspruch auf Vollständigkeit:

  • EnableSnapshotBlockPublicAccess

  • DisableSnapshotBlockPublicAccess

VPC Encryption Controls
Politische Wirkung

Steuert, ob und in welchem Modus die Amazon VPC-Verschlüsselungskontrollen für die VPCs in Konten aktiviert sind, die in den Geltungsbereich der Richtlinie fallen. Weitere Informationen finden Sie unter VPC Encryption Controls im Amazon VPC-Benutzerhandbuch.

Inhalt der Richtlinie

{
  "ec2_attributes": {
    "vpc_encryption_control": {
      "mode": {
        "@@assign": "attempt_enforce"
      },
      "exclusions": {
        "@@assign": ["internet_gateway", "nat_gateway", "vpc_lattice"]
      }
    }
  }
}

Die folgenden Felder sind für dieses Attribut verfügbar:

  • "mode"(erforderlich): Der Amazon VPC-Verschlüsselungssteuerungsmodus gilt für alle Konten und VPCs im Geltungsbereich.

    • "unmanaged": Die Amazon VPC-Verschlüsselungssteuerung ist ausgeschaltet. Wenn Sie die Richtlinie trennen, setzt der Service die Amazon VPC-Verschlüsselungskontrollen auf Kontoebene auf ihren vorherigen Zustand zurück. Die VPCs selbst können erfolgreich in den vorherigen Zustand zurückkehren oder auch nicht — siehe Überlegungen.

    • "attempt_monitor": Alle VPCs im Geltungsbereich versuchen, in den Monitormodus zu wechseln. Der Überwachungsmodus überprüft den Verschlüsselungsstatus der Datenverkehrsflüsse und identifiziert Ressourcen, die unverschlüsselten Datenverkehr zulassen. Eine VPC ohne Verschlüsselungssteuerungen wechselt zur Überwachung; eine VPC, die sich bereits im Monitor befindet, bleibt im Monitor; eine VPC in Enforce versucht, zur Überwachung zu wechseln; neue VPCs werden im Monitormodus erstellt.

    • "attempt_enforce": Alle VPCs im Geltungsbereich versuchen, in den Erzwingungsmodus zu wechseln, wodurch sichergestellt wird, dass die VPC nur Dienste zulässt, die den Datenverkehr während der Übertragung immer verschlüsseln. Eine VPC mit deaktivierter Verschlüsselung wechselt zuerst zur Überwachung und versucht dann automatisch, diese durchzusetzen, wenn dieser Modus auf Konto- oder Organisationsebene aktiviert ist; eine VPC im Überwachungsmodus versucht, zu migrieren, um sie durchzusetzen; eine VPC, die bereits durchgesetzt ist, behält die Durchsetzung bei; neue VPCs werden im Erzwingungsmodus mit allen auf Organisations- oder Kontoebene definierten Ausschlüssen von Ressourcentypen erstellt.

  • "exclusions"(optional): Per-Region Übersicht der ausschließbaren Ressourcentypen, die von den Amazon VPC-Verschlüsselungskontrollen ausgeschlossen werden können.

    • internet_gateway

    • nat_gateway

    • vpc_lattice

    • vpc_peering

    • lambda

    • egress_only_internet_gateway

    • elastic_file_system

    • virtual_private_gateway

Überlegungen

  • Beim Übergang zur Durchsetzung auf Konto- oder Organisationsebene attempt_enforce versetzt der Service die VPCs zuerst in den Überwachungsmodus und leitet sie dann automatisch in den Enforce-Modus um. Der Übergang zur Erzwingung schlägt fehl, wenn die VPC Ressourcen enthält, die nicht den Richtlinien entsprechen und nicht unter eine Ausnahme fallen. Diese VPCs bleiben im Überwachungsmodus und haben den Status „Erzwingung nicht bestanden“. Korrigieren Sie zuerst diese Ressourcen oder fügen Sie Ausnahmen hinzu.

  • Wenn Sie die Richtlinie trennen, wird die Konfiguration der Verschlüsselungssteuerung auf Kontoebene auf den Zustand vor dem Hinzufügen der Richtlinie zurückgesetzt.

  • Wenn Sie dieses Attribut in einer EC2-Richtlinie verwenden, können VPC-Besitzer von VPCs innerhalb des Geltungsbereichs die folgenden Befehle auf VPC-Ebene nicht verwenden (die Liste ist nicht vollständig):

    • ModifyVpcEncryptionControl

    • DeleteVpcEncryptionControl

    • CreateVpcEncryptionControl

  • Wenn der Übergang zu einem der Modi fehlschlägt, verwenden Sie, um alle VPCs DescribeVpcEncryptionControls zu finden, bei denen der Übergang fehlgeschlagen ist, und verwenden Sie dann, um die verletzenden Ressourcen innerhalb der VPCs GetVpcResourcesBlockingEncryptionEnforcement zu finden.

  • Die Rangfolge der Ausschlüsse lautet Organisation, dann OU, dann Konto und dann VPC. Ein Ausschluss auf Organisationsebene hat Vorrang vor einem Ausschluss auf Kontoebene, der Vorrang vor einem Ausschluss hat. VPC-level

Bewährte Methoden

  • Vor der Durchsetzung überwachen. Führen Sie den Vorgang immer attempt_monitor organisationsweit aus und überprüfen Sie anhand des Kontostatusberichts, ob VPCs nicht über nicht ausschließbare Ressourcen verfügen, bevor Sie zu diesen wechseln. attempt_enforce

  • Stufenweise Durchsetzung mit Ausschlüssen. Verwenden Sie Pro Region exclusions für Ressourcen, die keine Verschlüsselung bei der Übertragung unterstützen (z. B. IGW, NAT-Gateway, Amazon VPC Lattice).

  • Verstehe die Rangfolge. Organisationsmodus und Ausschlüsse überschreiben Konto- und VPC-Einstellungen; planen Sie Rollouts von oben nach unten.

  • Planen Sie Peering ein. Löschen Sie die VPC-Peering-Ausschlüsse, bevor Sie versuchen, VPCs im Erzwingungsmodus wieder auf den Monitor zu verschieben.