Contrôlez la découverte et l’utilisation des AMI dans Amazon EC2 à l’aide des AMI autorisées

Pour contrôler la découverte et l’utilisation des Amazon Machine Images (AMI) par les utilisateurs de votre Compte AWS, vous pouvez utiliser la fonctionnalité AMI autorisées. Vous spécifiez les critères auxquels les AMI doivent répondre pour être visibles et disponibles dans votre compte. Lorsque les critères sont activés, les utilisateurs qui lancent des instances ne verront et n’auront accès qu’aux AMI conformes aux critères définis. Par exemple, vous pouvez définir une liste de fournisseurs d’AMI fiables comme critère, et seules les AMI de ces fournisseurs seront visibles et disponibles.

Avant d’activer les paramètres des AMI autorisées, vous pouvez activer le Mode d’audit pour voir quelles AMI seront visibles ou non et disponibles afin d’être utilisées. Cela vous permet de préciser les critères selon vos besoins afin de vous assurer que seuls les AMI prévus sont visibles et disponibles pour les utilisateurs de votre compte. Par ailleurs, utilisez la commande describe-instance-image-metadata pour rechercher les instances qui ont été lancées avec des AMI ne répondant pas aux critères spécifiés. Ces informations peuvent vous aider à décider de mettre à jour vos configurations de lancement afin d’utiliser des AMI conformes (par exemple, en définissant une AMI différente dans un modèle de lancement) ou d’ajuster vos critères afin d’autoriser ces AMI.

Vous définissez les paramètres des AMI autorisées au niveau du compte, soit directement dans le compte, soit à l’aide d’une politique déclarative. Ces paramètres doivent être configurés dans chaque Région AWS où vous souhaitez contrôler l’utilisation de l’AMI. L’utilisation d’une politique déclarative vous permet d’appliquer les paramètres à plusieurs régions simultanément, ainsi qu’à plusieurs comptes simultanément. Lorsqu’une politique déclarative est utilisée, vous ne pouvez pas modifier les paramètres directement dans un compte. Cette rubrique décrit la procédure à suivre pour configurer les paramètres directement à l’intérieur d’un compte. Pour plus d’informations sur l’utilisation des politiques déclaratives, consultez la section Politiques déclaratives du AWS Organizations Guide de l’utilisateur.

Comment fonctionnent les AMI autorisées

Pour déterminer quelles AMI peuvent être détectées et utilisées dans votre compte, vous définissez un ensemble de critères permettant d’évaluer les AMI. Les critères sont composés d’un ou de plusieurs ImageCriterion, comme le montre le diagramme suivant. Une explication suit le schéma.

La configuration comporte trois niveaux :

Paramètres des AMI autorisés

Les paramètres suivants peuvent être configurés pour créer un ImageCriterion :

Pour connaître les valeurs valides et les contraintes pour chaque critère, consultez la section ImageCriterionRequest dans la Référence de l’API Amazon EC2.

Configuration des AMI autorisées

La configuration de base des AMI autorisées est la configuration ImageCriteria qui permet de définir les critères des AMI autorisées. La structure JSON suivante montre les paramètres qui peuvent être spécifiés :

{
    "State": "enabled" | "disabled" | "audit-mode",  
    "ImageCriteria" : [
        {
            "ImageProviders": ["string",...],
            "MarketplaceProductCodes": ["string",...],           
            "ImageNames":["string",...],
            "CreationDateCondition" : {
                "MaximumDaysSinceCreated": integer
            },
            "DeprecationTimeCondition" : {
                "MaximumDaysSinceDeprecated": integer
            }
         },
         ...
}

Exemple d’ImageCriteria

L’exemple ImageCriteria suivant en configure quatre ImageCriterion. Une AMI est autorisée si elle correspond à l’un de ces ImageCriterion. Pour plus d’informations sur la manière dont les critères sont évalués, consultez la section Comment les critères sont évalués.

{
    "ImageCriteria": [
        // ImageCriterion 1: Allow AWS Marketplace AMIs with product code "abcdefg1234567890"
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        // ImageCriterion 2: Allow AMIs from providers whose accounts are
        // "123456789012" OR "123456789013" AND AMI age is less than 300 days
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        // ImageCriterion 3: Allow AMIs from provider whose account is "123456789014" 
        // AND with names following the pattern "golden-ami-*"
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        // ImageCriterion 4: Allow AMIs from Amazon or verified providers 
        // AND which aren't deprecated
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ]
}

Comment les critères sont évalués

Le tableau suivant explique les règles d’évaluation qui déterminent si une AMI est autorisée, en montrant comment l’opérateur AND ou OR est appliqué à chaque niveau :

En utilisant les règles d’évaluation précédentes, voyons comment les appliquer à l’Exemple d’ImageCriteria :

Limites

L’ImageCriteria peut inclure jusqu’à :

Chaque ImageCriterion peut inclure jusqu’à :

Exemple de limites

En utilisant l’exemple de Exemple d’ImageCriteria qui précède :

Opérations relatives aux AMI autorisées

La fonctionnalité d’AMI autorisées dispose de trois états opérationnels pour gérer les critères d’image : Activé, Désactivé et Mode d’audit. Ces modes vous permettent d’activer ou de désactiver les critères d’image, ou de les réviser si nécessaire.

Meilleures pratiques pour mettre en œuvre les AMI autorisées

Lors de la mise en œuvre des AMI autorisées, tenez compte des meilleures pratiques suivantes afin de vous assurer que la transition se fera de manière harmonieuse et de minimiser les perturbations potentielles de votre environnement AWS.

Autorisations IAM requises

Pour utiliser la fonctionnalité des AMI autorisées, vous devez disposer des autorisations IAM suivantes :