Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controlla la scoperta e l'uso di AMIs in Amazon EC2 con Allowed AMIs

Per controllare il rilevamento e l'uso di Amazon Machine Images (AMIs) da parte degli utenti del tuo account Account AWS, puoi utilizzare la AMIs funzione Allowed. Specifichi i criteri che AMIs devono soddisfare per essere visibili e disponibili nel tuo account. Quando i criteri sono abilitati, gli utenti che avviano le istanze visualizzeranno e avranno accesso solo a quelle AMIs che soddisfano i criteri specificati. Ad esempio, puoi specificare un elenco di provider AMI affidabili come criteri e solo AMIs da questi provider saranno visibili e disponibili per l'uso.

Prima di abilitare le AMIs impostazioni Consentiti, puoi abilitare la modalità di controllo per visualizzare in anteprima quali AMIs saranno o meno visibili e disponibili per l'uso. Ciò ti consente di perfezionare i criteri in base alle esigenze per garantire che solo gli elementi desiderati AMIs siano visibili e disponibili per gli utenti del tuo account. Inoltre, utilizza il describe-instance-image-metadatacomando per trovare le istanze avviate con AMIs che non soddisfano i criteri specificati. Queste informazioni possono aiutarti a decidere se aggiornare le configurazioni di lancio per utilizzarle come conformi AMIs (ad esempio, specificando un'AMI diversa in un modello di lancio) o modificare i criteri per consentirle. AMIs

È possibile specificare le AMIs impostazioni consentite a livello di account, direttamente nell'account o utilizzando una politica dichiarativa. Queste impostazioni devono essere configurate in ogni area in Regione AWS cui si desidera controllare l'utilizzo dell'AMI. L'utilizzo di una policy dichiarativa consente di applicare le impostazioni contemporaneamente su più regioni, nonché su più account. Quando viene utilizzata una policy dichiarativa, non è possibile modificare le impostazioni direttamente all'interno di un account. Questo argomento illustra la modalità di configurazione delle impostazioni direttamente all'interno di un account. Per informazioni sull'utilizzo delle policy dichiarative, consulta Policy dichiarative nella Guida per l'utente di AWS Organizations .

Come funziona Allowed AMIs

Per controllare quali AMIs elementi possono essere rilevati e utilizzati nel tuo account, definisci una serie di criteri in base ai quali valutare il AMIs. I criteri sono costituiti da uno o piùImageCriterion, come mostrato nel diagramma seguente. Una spiegazione segue il diagramma.

La configurazione ha tre livelli:

Parametri consentiti AMIs

I seguenti parametri possono essere configurati per creareImageCriterion:

Per i valori e i vincoli validi per ogni criterio, consulta Amazon API ImageCriterionRequestReference. EC2

Configurazione consentita AMIs

La configurazione principale di Allowed AMIs è la ImageCriteria configurazione che definisce i criteri per Allowed AMIs. La seguente struttura JSON mostra i parametri che possono essere specificati:

{
    "State": "enabled" | "disabled" | "audit-mode",  
    "ImageCriteria" : [
        {
            "ImageProviders": ["string",...],
            "MarketplaceProductCodes": ["string",...],           
            "ImageNames":["string",...],
            "CreationDateCondition" : {
                "MaximumDaysSinceCreated": integer
            },
            "DeprecationTimeCondition" : {
                "MaximumDaysSinceDeprecated": integer
            }
         },
         ...
}

ImageCriteria esempio

L'ImageCriteriaesempio seguente ne configura quattroImageCriterion. Un AMI è consentito se corrisponde a uno di questiImageCriterion. Per informazioni su come vengono valutati i criteri, vedereCome vengono valutati i criteri.

{
    "ImageCriteria": [
        // ImageCriterion 1: Allow Marketplace AWS AMIs with product code "abcdefg1234567890"
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        // ImageCriterion 2: Allow AMIs from providers whose accounts are
        // "123456789012" OR "123456789013" AND AMI age is less than 300 days
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        // ImageCriterion 3: Allow AMIs from provider whose account is "123456789014" 
        // AND with names following the pattern "golden-ami-*"
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        // ImageCriterion 4: Allow AMIs from Amazon or verified providers 
        // AND which aren't deprecated
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ]
}

Come vengono valutati i criteri

La tabella seguente illustra le regole di valutazione che determinano se un AMI è consentito, mostrando come l'ORoperatore AND or viene applicato a ciascun livello:

Utilizzando le regole di valutazione precedenti, vediamo come applicarle a: ImageCriteria esempio

Limiti

Possono includere fino a: ImageCriteria

Ciascuno ImageCriterion può includere fino a:

Esempio di limiti

Utilizzando il precedenteImageCriteria esempio:

AMIs Operazioni consentite

La AMIs funzione Consentito ha tre stati operativi per la gestione dei criteri relativi all'immagine: abilitato, disabilitato e modalità di controllo. Queste consentono di abilitare o disabilitare i criteri relativi alle immagini o di rivederli secondo necessità.

Le migliori pratiche per l'implementazione di Allowed AMIs

Nell'implementazione di Allowed AMIs, prendi in considerazione queste best practice per garantire una transizione fluida e ridurre al minimo le potenziali interruzioni AWS dell'ambiente.

Autorizzazioni IAM richieste

Per utilizzare la AMIs funzionalità Allowed, sono necessarie le seguenti autorizzazioni IAM: