許可された AMI を使用して Amazon EC2 で AMI の検出と使用を制御する

AWS アカウント での Amazon マシンイメージ (AMI) の検出と使用を制御するには、許可された AMI の機能を使用できます。アカウント内で AMI を表示して使用するために満たす必要がある基準を指定します。条件を有効にすると、インスタンスを起動するユーザーは、指定された条件に準拠する AMI のみを表示し、アクセスできます。例えば、信頼された AMI プロバイダーのリストを条件として指定できます。これらのプロバイダーからの AMI のみが表示され、使用できます。

許可された AMI 設定を有効にする前に、監査モードを有効にして、どの AMI を表示および使用不可にするかをプレビューできます。これにより、必要に応じて条件を絞り込み、目的の AMI のみがアカウント内のユーザーに表示されるようにすることができます。さらに、describe-instance-image-metadata コマンドを実行し、指定した条件を満たしていない AMI で起動されたインスタンスを特定します。この情報は、準拠した AMI を使用するように起動設定を更新する (起動テンプレートで別の AMI を指定するなど) か、これらの AMI を許可するように条件を調整するかどうかを決定するのに役立ちます。

許可された AMI 設定は、アカウントレベルで直接指定するか、宣言ポリシーを使用して指定します。これらの設定は、AMI の使用を制御する各 AWS リージョンで設定する必要があります。宣言型ポリシーを使用すると、複数のリージョンと複数のアカウントで同時に設定を適用できます。宣言ポリシーが使用されている場合、アカウント内で直接設定を変更することはできません。このトピックでは、アカウント内で設定を直接設定する方法について説明します。宣言ポリシーの使用の詳細については、「AWS Organizations ユーザーガイド」の「宣言ポリシー」を参照してください。

許可された AMI の仕組み

お使いのアカウントで、どの AMI を検出して使用できるかを制御するには、AMI を評価するための一連の基準を定義します。次の図に示すように、基準は 1 つまたは複数の ImageCriterion で構成されます。説明は図の後に続きます。

設定には 3 つのレベルがあります。

許可された AMI のパラメータ

次のパラメータを設定すると ImageCriterion を作成できます。

各条件の有効な値と制約については、「Amazon EC2 API リファレンス」の「ImageCriterionRequest」を参照してください。

許可された AMI の設定

許可された AMI のコア設定は、許可された AMI の基準を定義する ImageCriteria 設定です。次の JSON 構造は、指定できるパラメータを示しています。

{
    "State": "enabled" | "disabled" | "audit-mode",  
    "ImageCriteria" : [
        {
            "ImageProviders": ["string",...],
            "MarketplaceProductCodes": ["string",...],           
            "ImageNames":["string",...],
            "CreationDateCondition" : {
                "MaximumDaysSinceCreated": integer
            },
            "DeprecationTimeCondition" : {
                "MaximumDaysSinceDeprecated": integer
            }
         },
         ...
}

ImageCriteria の例

以下の ImageCriteria の例では 4 つの ImageCriterion を設定します。AMI は、これらの ImageCriterion のいずれかと一致する場合に許可されます。条件の評価方法に関する詳細は、「基準の評価方法」を参照してください。

{
    "ImageCriteria": [
        // ImageCriterion 1: Allow AWS Marketplace AMIs with product code "abcdefg1234567890"
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        // ImageCriterion 2: Allow AMIs from providers whose accounts are
        // "123456789012" OR "123456789013" AND AMI age is less than 300 days
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        // ImageCriterion 3: Allow AMIs from provider whose account is "123456789014" 
        // AND with names following the pattern "golden-ami-*"
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        // ImageCriterion 4: Allow AMIs from Amazon or verified providers 
        // AND which aren't deprecated
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ]
}

基準の評価方法

以下の表は、AMI が許可されるかどうかを判断する評価ルールを説明し、各レベルで AND 演算子または OR 演算子がどのように適用されるかを示しています。

上記の評価ルールを使用して、それらを ImageCriteria の例 に適用する方法を見てみましょう。

制限

ImageCriteria には以下までを含めることができます:

各 ImageCriterion には以下までを含めることができます:

制限の例

前述の ImageCriteria の例 の使用:

許可されている操作

許可された AMI 機能には、イメージ条件を管理するための 3 つのオペレーション状態 (有効、無効、監査モード) があります。これにより、イメージ条件を有効または無効にしたり、必要に応じて確認したりできます。

許可された AMI を実装するためのベストプラクティス

許可された AMI、スムーズな移行を確保し、AWS 環境への潜在的な中断を最小限に抑えるために、これらのベストプラクティスを検討してください。

必要な IAM 許可

許可された AMI 機能を使用するには、次の IAM アクセス許可が必要です: