EC2 ポリシーの構文と例

ポリシーの効果

Amazon VPC とサブネットのリソースがインターネットゲートウェイ (IGW) を介してインターネットにアクセスできるかどうかをコントロールします。詳細については、「Amazon Virtual Private Cloud ユーザーガイド」の「Configuration for internet access」を参照してください。

ポリシーの内容

{
  "ec2_attributes": {
    "vpc_block_public_access": {
      "internet_gateway_block": {
        "mode": {
          "@@assign": "block_ingress"
        },
        "exclusions_allowed": {
          "@@assign": "enabled"
        }
      }
    }
  }
}

この属性で使用できるフィールドは次のとおりです。

考慮事項

EC2 ポリシーでこの属性を使用する場合、次のオペレーションを使用して、対象範囲内のアカウントの強制設定を変更することはできません。これはすべてを網羅したリストではありません。

ポリシーの効果

EC2 シリアルコンソールにアクセスできるかどうかをコントロールします。EC2 シリアルコンソールの詳細については、「Amazon Elastic Compute Cloud ユーザーガイド」の「EC2 シリアルコンソール」を参照してください。

ポリシーの内容

{
  "ec2_attributes": {
    "serial_console_access": {
      "status": {
        "@@assign": "enabled"
      }
    }
  }
}

この属性で使用できるフィールドは次のとおりです。

考慮事項

EC2 ポリシーでこの属性を使用する場合、次のオペレーションを使用して、対象範囲内のアカウントの強制設定を変更することはできません。これはすべてを網羅したリストではありません。

ポリシーの効果

Amazon マシンイメージ (AMI) がパブリックに共有可能かどうかをコントロールします。AMI の詳細については、「Amazon Elastic Compute Cloud ユーザーガイド」の「Amazon マシンイメージ (AMI)」を参照してください。

ポリシーの内容

{
  "ec2_attributes": {
    "image_block_public_access": {
      "state": {
        "@@assign": "block_new_sharing"
      }
    }
  }
}

この属性で使用できるフィールドは次のとおりです。

考慮事項

EC2 ポリシーでこの属性を使用する場合、次のオペレーションを使用して、対象範囲内のアカウントの強制設定を変更することはできません。これはすべてを網羅したリストではありません。

ポリシーの効果

許可された AMI を使用して、Amazon EC2 での Amazon マシンイメージ (AMI) の検出と使用をコントロールします。AMI の詳細については、「Amazon Elastic Compute Cloud ユーザーガイド」の「許可された AMI を使用して Amazon EC2 で AMI の検出と使用を制御する」を参照してください。

ポリシーの内容

この属性で使用できるフィールドは次のとおりです。

{
  "ec2_attributes": {
    "allowed_images_settings": {
      "state": {
        "@@assign": "enabled"
      },
      "image_criteria": {
        "criteria_1": {
          "marketplace_product_codes": {
            "@@append": [
              "abcdefg1234567890"
            ]
          }
        },
        "criteria_2": {
          "allowed_image_providers": {
            "@@append": [
              "123456789012",
              "123456789013"
            ]
          },
          "creation_date_condition": {
            "maximum_days_since_created": {
              "@@assign": 300
            }
          }
        },
        "criteria_3": {
          "allowed_image_providers": {
            "@@assign": [
              "123456789014"
            ]
          },
          "image_names": {
            "@@assign": [
              "golden-ami-*"
            ]
          }
        },
        "criteria_4": {
          "allowed_image_providers": {
            "@@assign": [
              "amazon"
            ]
          },
          "deprecation_time_condition": {
            "maximum_days_since_deprecated": {
              "@@assign": 0
            }
          }
        },
        "criteria_5": {
          "image_watermarks": {
            "image_watermark_1": {
              "watermark_key": {
                "@@assign": "123456789015:approved-production-*"
              },
              "source_image_region": {
                "@@assign": "us-east-1"
              },
              "maximum_days_since_source_image_created": {
                "@@assign": 365
              },
              "maximum_days_since_watermark_created": {
                "@@assign": 90
              }
            },
            "image_watermark_2": {
              "watermark_key": {
                "@@assign": "123456789016:security-scanned"
              }
            }
          }
        }
      }
    }
  }
}

考慮事項

EC2 ポリシーでこの属性を使用する場合、次のオペレーションを使用して、対象範囲内のアカウントの強制設定を変更することはできません。これはすべてを網羅したリストではありません。

ポリシーの効果

すべての新しい EC2 インスタンスの起動に対する IMDS のデフォルトと IMDSv2 の適用を制御します。 EC2 IMDS のデフォルトと IMDSv2 の適用の詳細については、Amazon EC22 ユーザーガイド」の「インスタンスメタデータを使用して EC2 インスタンスを管理する」を参照してください。

ポリシーの内容

この属性で使用できるフィールドは次のとおりです。

{
  "ec2_attributes": {
    "instance_metadata_defaults": {
      "http_tokens": {
        "@@assign": "required"
      },
      "http_put_response_hop_limit": {
        "@@assign": "4"
      },
      "http_endpoint": {
        "@@assign": "enabled"
      },
      "instance_metadata_tags": {
        "@@assign": "enabled"
      },
      "http_tokens_enforced": {
        "@@assign": "enabled"
      }
    }
  }
}

ポリシーの効果

Amazon EBS スナップショットがパブリックにアクセス可能かどうかをコントロールします。EBS スナップショットの詳細については、「Amazon Elastic Block Store ユーザーガイドの「Amazon EBS snapshots」を参照してください。

ポリシーの内容

{
  "ec2_attributes": {
    "snapshot_block_public_access": {
      "state": {
        "@@assign": "block_new_sharing"
      }
    }
  }
}

この属性で使用できるフィールドは次のとおりです。

考慮事項

EC2 ポリシーでこの属性を使用する場合、次のオペレーションを使用して、対象範囲内のアカウントの強制設定を変更することはできません。これはすべてを網羅したリストではありません。

ポリシーの効果

Amazon VPC 暗号化コントロールが有効になっているかどうか、およびポリシーの範囲内にあるアカウント内の VPCs のモードを制御します。詳細については、「Amazon VPC ユーザーガイド」の「VPC 暗号化コントロール」を参照してください。

ポリシーの内容

{
  "ec2_attributes": {
    "vpc_encryption_control": {
      "mode": {
        "@@assign": "attempt_enforce"
      },
      "exclusions": {
        "@@assign": ["internet_gateway", "nat_gateway", "vpc_lattice"]
      }
    }
  }
}

この属性で使用できるフィールドは次のとおりです。

考慮事項

ベストプラクティス