View a markdown version of this page

Requisitos previos de administración del ciclo de vida para imágenes de Generador de imágenes - Generador de Imágenes de EC2
Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenesCreación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes entre cuentas

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Requisitos previos de administración del ciclo de vida para imágenes de Generador de imágenes

Complete estos pasos antes de crear políticas de ciclo de vida.

  • Cree una función de IAM que conceda a Image Builder permiso para ejecutar políticas de ciclo de vida. Tiene tres opciones:

    • Al crear una política de ciclo de vida, elija Crear un rol de ejecución del ciclo de vida utilizando los valores predeterminados del servicio en la consola de Image Builder. De este modo, se adjunta la política EC2ImageBuilderLifecycleExecutionPolicy gestionada automáticamente.

    • Elija Crear un nuevo rol de ejecución del ciclo de vida en la consola de Image Builder. Esto abre IAM con la configuración previamente rellenada para la creación de roles con un solo clic.

    • Cree el rol manualmente. Para obtener instrucciones, consulte Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes.

  • Cree un rol de IAM en cada cuenta de destino en la que haya distribuido los recursos asociados entre las cuentas. Esta función otorga a Image Builder permiso para realizar acciones del ciclo de vida en esa cuenta. Para obtener instrucciones, consulte Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes entre cuentas.

    nota

    Este requisito previo no se aplica si solo ha otorgado permisos de inicio para una AMI de salida. Con los permisos de lanzamiento, todos los recursos de la AMI permanecen en su cuenta.

  • En el caso de las imágenes de contenedor, añada la etiqueta LifecycleExecutionAccess: EC2 Image Builder a sus repositorios de ECR. Esta etiqueta otorga a Image Builder acceso para ejecutar acciones del ciclo de vida en las imágenes de contenedor del repositorio.

Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes

Cree un rol de servicio que otorgue a Image Builder permiso para realizar acciones del ciclo de vida en sus recursos de imágenes.

  1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

  2. Elija la opción Roles en el panel de navegación.

  3. Elija Crear rol.

  4. Seleccione una política de confianza personalizada para el tipo de entidad de confianza.

  5. Pegue la siguiente política de confianza de JSON en el área de texto de la política de confianza personalizada y sustituya el texto de ejemplo. Esta política permite a Image Builder asumir la función de las acciones del ciclo de vida.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "sts:AssumeRole"
            ],
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "imagebuilder.amazonaws.com"
                ]
            }
        }
    ]
}

  6. Seleccione una opción EC2ImageBuilderLifecycleExecutionPolicy de la lista de políticas administradas y, a continuación, elija Siguiente.

    sugerencia

    Filtre por image para optimizar los resultados.

  7. Escriba un Role name.

  8. Revisa la configuración y, a continuación, elige Crear rol.

Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes entre cuentas

Cree este rol en cada cuenta de destino en la que Image Builder distribuyó los recursos asociados. La función otorga a Image Builder permiso para realizar acciones del ciclo de vida en esa cuenta.

  1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

  2. Elija la opción Roles en el panel de navegación.

  3. Elija Crear rol.

  4. Seleccione una política de confianza personalizada para el tipo de entidad de confianza.

  5. Pegue la siguiente política de confianza de JSON en el área de texto de la política de confianza personalizada y sustituya el texto de ejemplo. Esta política permite a Image Builder asumir la función de las acciones del ciclo de vida.

    nota

    Image Builder utiliza esta función en nombre del propietario de la cuenta de destino. aws:SourceAccountEstablezca la cuenta en la que Image Builder distribuyó los recursos.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "imagebuilder.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "444455556666"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:*:imagebuilder:*:*:image/*/*/*"
                }
            }
        }
    ]
}

  6. Seleccione una opción EC2ImageBuilderLifecycleExecutionPolicy de la lista de políticas administradas y, a continuación, elija Siguiente.

    sugerencia

    Filtre por image para optimizar los resultados.

  7. Ingrese Ec2ImageBuilderCrossAccountLifecycleAccess como Nombre del rol. Debe usar este nombre exacto.

  8. Revisa la configuración y, a continuación, selecciona Crear rol.