許可された AMI の設定を管理する

許可されたAMIを有効にするには

enable-allowed-images-settings コマンドを使用します。

aws ec2 enable-allowed-images-settings --allowed-images-settings-state enabled

代わりに監査モードを有効にする場合は、enabled ではなく audit-mode を指定します。

aws ec2 enable-allowed-images-settings --allowed-images-settings-state audit-mode

許可されたAMIを有効にするには

Enable-EC2AllowedImagesSetting コマンドレットを使用します。

Enable-EC2AllowedImagesSetting -AllowedImagesSettingsState enabled

代わりに監査モードを有効にする場合は、enabled ではなく audit-mode を指定します。

Enable-EC2AllowedImagesSetting -AllowedImagesSettingsState audit-mode

許可された AMI 基準を設定するには

replace-image-criteria-in-allowed-images-settings コマンドを使用して、許可された AMI の条件を含む JSON ファイルを指定します。

aws ec2 replace-image-criteria-in-allowed-images-settings --cli-input-json file://file_name.json

許可された AMI 基準を設定するには

Set-EC2ImageCriteriaInAllowedImagesSetting コマンドレットを使用して、許可された AMI の条件を含む JSON ファイルを指定します。

$imageCriteria = Get-Content -Path .\file_name.json | ConvertFrom-Json
Set-EC2ImageCriteriaInAllowedImagesSetting -ImageCriterion $imageCriteria

許可されたAMIを無効にするには

disable-allowed-images-settings コマンドを使用します。

aws ec2 disable-allowed-images-settings

許可されたAMIを無効にするには

Disable-EC2AllowedImagesSetting コマンドレットを使用します。

Disable-EC2AllowedImagesSetting

許可された AMI の状態と基準を取得するには

get-allowed-images-settings コマンドを使用します。

aws ec2 get-allowed-images-settings

次の出力例では、状態は audit-mode で、イメージの条件がアカウントで設定されています。

{
    "State": "audit-mode",
    "ImageCriteria": [
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ],
    "ManagedBy": "account"
}

許可された AMI の状態と基準を取得するには

Get-EC2AllowedImagesSetting コマンドレットを使用します。

Get-EC2AllowedImagesSetting | Select-Object `
    State, `
    ManagedBy, `
    @{Name='ImageProviders'; Expression={($_.ImageCriteria.ImageProviders)}}, `
    @{Name='MarketplaceProductCodes'; Expression={($_.ImageCriteria.MarketplaceProductCodes)}}, `
    @{Name='ImageNames'; Expression={($_.ImageCriteria.ImageNames)}}, `
    @{Name='MaximumDaysSinceCreated'; Expression={($_.ImageCriteria.CreationDateCondition.MaximumDaysSinceCreated)}}, `
    @{Name='MaximumDaysSinceDeprecated'; Expression={($_.ImageCriteria.DeprecationTimeCondition.MaximumDaysSinceDeprecated)}}

次の出力例では、状態は audit-mode で、イメージの条件がアカウントで設定されています。

State      : audit-mode
ManagedBy  : account
ImageProviders            : {123456789012, 123456789013, 123456789014, amazon}
MarketplaceProductCodes   : {abcdefg1234567890}
ImageNames                : {golden-ami-*}
MaximumDaysSinceCreated  : 300
MaximumDaysSinceDeprecated: 0

AMI が許可された AMI 基準を満たしているかどうかを確認するには

describe-images コマンドを使用します。

aws ec2 describe-images \
    --image-id ami-0abcdef1234567890 \
    --query Images[].ImageAllowed \
    --output text

以下は出力の例です。

True

許可された AMI 基準を満たす AMI を見つけるには

describe-images コマンドを使用します。

aws ec2 describe-images \
    --filters "Name=image-allowed,Values=true" \
    --max-items 10 \
    --query Images[].ImageId

以下は出力の例です。

ami-000eaaa8be2fd162a
ami-000f82db25e50de8e
ami-000fc21eb34c7a9a6
ami-0010b876f1287d7be
ami-0010b929226fe8eba
ami-0010957836340aead
ami-00112c992a47ba871
ami-00111759e194abcc1
ami-001112565ffcafa5e
ami-0011e45aaee9fba88

AMI が許可された AMI 基準を満たしているかどうかを確認するには

Get-EC2Image コマンドレットを使用します。

(Get-EC2Image -ImageId ami-0abcdef1234567890).ImageAllowed

以下は出力の例です。

True

許可された AMI 基準を満たす AMI を見つけるには

Get-EC2Image コマンドレットを使用します。

Get-EC2Image `
    -Filter @{Name="image-allows";Values="true"} `
    -MaxResult 10 | `
    Select ImageId

以下は出力の例です。

ami-000eaaa8be2fd162a
ami-000f82db25e50de8e
ami-000fc21eb34c7a9a6
ami-0010b876f1287d7be
ami-0010b929226fe8eba
ami-0010957836340aead
ami-00112c992a47ba871
ami-00111759e194abcc1
ami-001112565ffcafa5e
ami-0011e45aaee9fba88

許可されていない AMI を使って起動したインスタンスを見つけるには

describe-instance-image-metadata コマンドを image-allowed フィルターと共に使用します。

aws ec2 describe-instance-image-metadata \
    --filters "Name=image-allowed,Values=false" \
    --query "InstanceImageMetadata[*].[InstanceId,ImageMetadata.ImageId]" \
    --output table

以下は出力の例です。

--------------------------------------------------
|          DescribeInstanceImageMetadata         |
+----------------------+-------------------------+
|  i-08fd74f3f1595fdbd |  ami-09245d5773578a1d6  |
|  i-0b1bf24fd4f297ab9 |  ami-07cccf2bd80ed467f  |
|  i-026a2eb590b4f7234 |  ami-0c0ec0a3a3a4c34c0  |
|  i-006a6a4e8870c828f |  ami-0a70b9d193ae8a799  |
|  i-0781e91cfeca3179d |  ami-00c257e12d6828491  |
|  i-02b631e2a6ae7c2d9 |  ami-0bfddf4206f1fa7b9  |
+----------------------+-------------------------+

許可されていない AMI を使って起動したインスタンスを見つけるには

Get-EC2InstanceImageMetadata コマンドレットを使用します。

Get-EC2InstanceImageMetadata `
    -Filter @{Name="image-allowed";Values="false"} | `
    Select InstanceId, @{Name='ImageId'; Expression={($_.ImageMetadata.ImageId)}}

以下は出力の例です。

InstanceId          ImageId
----------          -------
i-08fd74f3f1595fdbd ami-09245d5773578a1d6
i-0b1bf24fd4f297ab9 ami-07cccf2bd80ed467f
i-026a2eb590b4f7234 ami-0c0ec0a3a3a4c34c0
i-006a6a4e8870c828f ami-0a70b9d193ae8a799
i-0781e91cfeca3179d ami-00c257e12d6828491
i-02b631e2a6ae7c2d9 ami-0bfddf4206f1fa7b9

ec2-instance-launched-with-allowed-ami AWS Config ルールを追加し、それを要件に合わせて設定してから、それを使用してインスタンスを評価します。

詳細については、「AWS Config デベロッパーガイド」の「Adding AWS Config Rules」および「ec2-instance-launched-with-allowed-ami」を参照してください。