Controle el descubrimiento y el uso de las AMI en Amazon EC2 con las AMI permitidas

Para controlar el descubrimiento y el uso de las Imágenes de máquina de Amazon (AMI) por parte de los usuarios de la Cuenta de AWS, puede utilizar la característica AMI permitidas. Usted especifica los criterios que las AMI deben cumplir para estar visibles y disponibles en la cuenta. Cuando los criterios están habilitados, los usuarios que lancen instancias solo verán las AMI que cumplan con los criterios especificados, y únicamente tendrán acceso a estas. Por ejemplo, puede especificar una lista de proveedores de AMI de confianza como criterio y solo las AMI de estos proveedores estarán visibles y disponibles para ser utilizadas.

Antes de habilitar la configuración de AMI permitidas, puede habilitar el modo de auditoría para obtener una vista previa de las AMI que estarán o no visibles y disponibles para ser utilizadas. Esto permite ajustar los criterios según sea necesario para garantizar que solo las AMI previstas estén visibles y disponibles para los usuarios de la cuenta. Además, utilice el comando describe-instance-image-metadata para buscar las instancias que se hayan lanzado con AMI que no cumplan los criterios especificados. Esta información puede fundamentar su decisión para determinar si actualizar las configuraciones de lanzamiento para usar AMI compatibles (por ejemplo, especificar una AMI diferente en una plantilla de lanzamiento) o ajustar los criterios para permitir estas AMI.

Especifica la configuración de AMI permitidas a nivel de cuenta, ya sea directamente en la cuenta o mediante una política declarativa. Estos ajustes se deben configurar en cada Región de AWS en la que desee controlar el uso de AMI. El uso de una política declarativa permite aplicar la configuración en varias regiones simultáneamente, así como en varias cuentas simultáneamente. Cuando se utiliza una política declarativa, no se puede modificar la configuración directamente en una cuenta. En este tema se describe cómo configurar el ajuste directamente dentro de una cuenta. Para obtener información sobre el uso de políticas declarativas, consulte Políticas declarativas en la Guía del usuario de AWS Organizations.

Cómo funciona la característica AMI permitidas

Para controlar qué AMI se pueden descubrir y usar en la cuenta, se define un conjunto de criterios con los cuales evaluar las AMI. Los criterios se componen de uno o más ImageCriterion, como se muestra en el siguiente diagrama. A continuación del diagrama se presenta una explicación.

La configuración tiene tres niveles:

Parámetros de AMI permitidas

Los siguientes parámetros se pueden configurar para crear ImageCriterion:

Para conocer los valores válidos y las restricciones de cada criterio, consulte ImageCriterionRequest en la Referencia de la API de Amazon EC2.

Configuración de AMI permitidas

La configuración principal de las AMI permitidas es la configuración de ImageCriteria que define los criterios para las AMI permitidas. La siguiente estructura JSON muestra los parámetros que se pueden especificar:

{
    "State": "enabled" | "disabled" | "audit-mode",  
    "ImageCriteria" : [
        {
            "ImageProviders": ["string",...],
            "MarketplaceProductCodes": ["string",...],           
            "ImageNames":["string",...],
            "CreationDateCondition" : {
                "MaximumDaysSinceCreated": integer
            },
            "DeprecationTimeCondition" : {
                "MaximumDaysSinceDeprecated": integer
            }
         },
         ...
}

Ejemplo de ImageCriteria

En el siguiente ejemplo de ImageCriteria se configuran cuatro ImageCriterion. Se permite una AMI si coincide con alguno de estos ImageCriterion. Para obtener información sobre cómo se evalúan los criterios, consulte Cómo se evalúan los criterios.

{
    "ImageCriteria": [
        // ImageCriterion 1: Allow AWS Marketplace AMIs with product code "abcdefg1234567890"
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        // ImageCriterion 2: Allow AMIs from providers whose accounts are
        // "123456789012" OR "123456789013" AND AMI age is less than 300 days
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        // ImageCriterion 3: Allow AMIs from provider whose account is "123456789014" 
        // AND with names following the pattern "golden-ami-*"
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        // ImageCriterion 4: Allow AMIs from Amazon or verified providers 
        // AND which aren't deprecated
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ]
}

Cómo se evalúan los criterios

La siguiente tabla explica las reglas de evaluación que determinan si una AMI está permitida, y muestra cómo se aplica el operador AND o OR en cada nivel:

Utilicemos las reglas de evaluación anteriores para ver cómo aplicarlas a Ejemplo de ImageCriteria:

Límites

El ImageCriteria puede incluir hasta:

Cada ImageCriterion puede incluir hasta:

Ejemplo de límites

Si utilizamos el Ejemplo de ImageCriteria anterior:

Operaciones de AMI permitidas

La característica de AMI permitidas tiene tres estados operativos para administrar los criterios de imágenes: habilitada, desactivada y modo auditoría. Con estos es posible habilitar o desactivar los criterios de imágenes, así como revisarlos según sea necesario.

Prácticas recomendadas para implementar la característica AMI permitidas

Al implementar AMI permitidas, tenga en cuenta estas prácticas recomendadas para garantizar una transición fluida y minimizar las posibles interrupciones en el entorno de AWS.

Permisos de IAM necesarios

Para utilizar la característica AMI permitidas, necesitará los siguientes permisos de IAM: