Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôlez la découverte et l'utilisation de AMIs dans Amazon EC2 avec Allowed AMIs

Pour contrôler la découverte et l'utilisation d'Amazon Machine Images (AMIs) par les utilisateurs de votre site Compte AWS, vous pouvez utiliser la AMIs fonctionnalité Autorisé. Vous spécifiez les critères qui AMIs doivent être remplis pour être visibles et disponibles dans votre compte. Lorsque les critères sont activés, les utilisateurs qui lancent des instances ne verront et n'auront accès AMIs qu'aux instances conformes aux critères spécifiés. Par exemple, vous pouvez spécifier une liste de fournisseurs d'AMI fiables comme critère, et seuls AMIs ces fournisseurs seront visibles et utilisables.

Avant d'activer les AMIs paramètres autorisés, vous pouvez activer le mode audit pour prévisualiser ce qui AMIs sera visible ou non et disponible pour utilisation. Cela vous permet d'affiner les critères selon vos besoins afin de garantir que seuls les critères prévus AMIs sont visibles et disponibles pour les utilisateurs de votre compte. En outre, utilisez la describe-instance-image-metadatacommande pour rechercher les instances lancées avec AMIs qui ne répondent pas aux critères spécifiés. Ces informations peuvent vous aider à décider de mettre à jour vos configurations de lancement afin de les rendre conformes AMIs (par exemple, en spécifiant une autre AMI dans un modèle de lancement) ou d'ajuster vos critères pour les autoriser AMIs.

Vous spécifiez les AMIs paramètres autorisés au niveau du compte, soit directement dans le compte, soit en utilisant une politique déclarative. Ces paramètres doivent être configurés dans chaque Région AWS endroit où vous souhaitez contrôler l'utilisation de l'AMI. L’utilisation d’une politique déclarative vous permet d’appliquer les paramètres à plusieurs régions simultanément, ainsi qu’à plusieurs comptes simultanément. Lorsqu’une politique déclarative est utilisée, vous ne pouvez pas modifier les paramètres directement dans un compte. Cette rubrique décrit la procédure à suivre pour configurer les paramètres directement à l’intérieur d’un compte. Pour plus d’informations sur l’utilisation des politiques déclaratives, consultez la section Politiques déclaratives dans le Guide de l’utilisateur AWS Organizations .

Comment AMIs fonctionne Allowed

Pour contrôler ce qui AMIs peut être découvert et utilisé dans votre compte, vous définissez un ensemble de critères par rapport auxquels évaluer le AMIs. Les critères sont composés d'un ou de plusieursImageCriterion, comme indiqué dans le schéma suivant. Une explication suit le schéma.

La configuration comporte trois niveaux :

AMIs Paramètres autorisés

Les paramètres suivants peuvent être configurés pour créer ImageCriterion :

Pour connaître les valeurs et les contraintes valides pour chaque critère, consultez ImageCriterionRequestle Amazon EC2 API Reference.

AMIs Configuration autorisée

La configuration de base d'Allowed AMIs est la ImageCriteria configuration qui définit les critères d'autorisation AMIs. La structure JSON suivante indique les paramètres qui peuvent être spécifiés :

{
    "State": "enabled" | "disabled" | "audit-mode",  
    "ImageCriteria" : [
        {
            "ImageProviders": ["string",...],
            "MarketplaceProductCodes": ["string",...],           
            "ImageNames":["string",...],
            "CreationDateCondition" : {
                "MaximumDaysSinceCreated": integer
            },
            "DeprecationTimeCondition" : {
                "MaximumDaysSinceDeprecated": integer
            }
         },
         ...
}

ImageCriteria exemple

L'ImageCriteriaexemple suivant en configure quatreImageCriterion. Une AMI est autorisée si elle correspond à l'une de ces optionsImageCriterion. Pour plus d'informations sur la manière dont les critères sont évalués, voirComment les critères sont évalués.

{
    "ImageCriteria": [
        // ImageCriterion 1: Allow AWS Marketplace AMIs with product code "abcdefg1234567890"
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        // ImageCriterion 2: Allow AMIs from providers whose accounts are
        // "123456789012" OR "123456789013" AND AMI age is less than 300 days
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        // ImageCriterion 3: Allow AMIs from provider whose account is "123456789014" 
        // AND with names following the pattern "golden-ami-*"
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        // ImageCriterion 4: Allow AMIs from Amazon or verified providers 
        // AND which aren't deprecated
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ]
}

Comment les critères sont évalués

Le tableau suivant explique les règles d'évaluation qui déterminent si une AMI est autorisée, en montrant comment l'ORopérateur AND or est appliqué à chaque niveau :

À l'aide des règles d'évaluation précédentes, voyons comment les appliquer aux ImageCriteria exemple :

Limites

Ils ImageCriteria peuvent inclure jusqu'à :

Chacun ImageCriterion peut inclure jusqu'à :

Exemple de limites

En utilisant ce qui précède ImageCriteria exemple :

AMIs Opérations autorisées

La AMIs fonctionnalité Autorisé possède trois états opérationnels pour gérer les critères d'image : activé, désactivé et mode audit. Ces modes vous permettent d’activer ou de désactiver les critères d’image, ou de les réviser si nécessaire.

Meilleures pratiques pour la mise en œuvre d'Allowed AMIs

Lors de la mise en œuvre d'Allowed AMIs, tenez compte de ces meilleures pratiques pour garantir une transition en douceur et minimiser les perturbations potentielles de votre AWS environnement.

Autorisations IAM requises

Pour utiliser la AMIs fonctionnalité Autorisé, vous devez disposer des autorisations IAM suivantes :