허용된 AMI를 사용하여 Amazon EC2에서 AMI 검색 및 사용 제어

AWS 계정의 사용자가 Amazon Machine Image(AMIs)를 검색하고 사용하는 것을 제어하려면 허용된 AMI 기능을 사용할 수 있습니다. 계정 내에서 표시하고 사용할 수 있도록 AMI가 충족해야 하는 기준을 지정합니다. 기준이 활성화되면 인스턴스를 시작하는 사용자는 지정된 기준을 준수하는 AMI만 볼 수 있습니다. 예를 들어 신뢰할 수 있는 AMI 공급자 목록을 기준으로 지정할 수 있으며 이러한 공급자의 AMI만 표시되고 사용할 수 있습니다.

허용된 AMI 설정을 활성화하기 전에 감사 모드를 활성화하여 표시되거나 표시되지 않고 사용할 수 있는 AMI를 미리 볼 수 있습니다. 이렇게 하면 계정의 사용자가 의도한 AMI만 보고 사용할 수 있도록 필요에 따라 기준을 세분화할 수 있습니다. 또한 describe-instance-image-metadata 명령을 실행하하여 지정된 기준을 충족하지 않는 AMI로 시작된 인스턴스를 찾을 수 있습니다. 이 정보는 기준을 준수하는 AMI를 사용하도록 시작 구성을 업데이트하거나(예: 시작 템플릿에서 다른 AMI 지정) 이러한 AMI를 허용하도록 기준을 조정하는 결정의 지침이 될 수 있습니다.

계정에서 직접 지정하거나 선언적 정책을 사용하여 계정 수준에서 허용된 AMI 설정을 지정합니다. 이러한 설정은 AMI 사용을 제어하려는 각 AWS 리전에서 구성되어야 합니다. 선언적 정책을 사용하면 여러 리전과 여러 계정에 동시에 설정을 적용할 수 있습니다. 선언적 정책을 사용 중인 경우 계정 내에서 직접 설정을 수정할 수 없습니다. 이 주제에서는 계정 내에서 직접 설정을 구성하는 방법을 설명합니다. 선언적 정책 사용에 대한 자세한 내용은 AWS Organizations 사용 설명서의 선언적 정책을 참조하세요.

허용된 AMI 작동 방식

계정에서 검색하고 사용할 수 있는 AMI를 제어하려면 AMI를 평가할 기준 세트를 정의합니다. 기준은 다음 다이어그램에서와 같이 하나 이상이 ImageCriterion으로 구성됩니다. 설명은 다이어그램 뒤에 나옵니다.

구성에는 세 가지 수준이 있습니다.

허용된 AMI 파라미터

ImageCriterion을 생성하도록 다음 파라미터를 구성할 수 있습니다.

각 기준에 대한 유효한 값 및 제약 조건은 Amazon EC2 API 참조의 ImageCriterionRequest를 참조하세요.

허용된 AMI 구성

허용된 AMI의 핵심 구성은 허용된 AMI에 대한 기준을 정의하는 ImageCriteria 구성입니다. 다음 JSON 구조는 지정할 수 있는 파라미터를 보여줍니다.

{
    "State": "enabled" | "disabled" | "audit-mode",  
    "ImageCriteria" : [
        {
            "ImageProviders": ["string",...],
            "MarketplaceProductCodes": ["string",...],           
            "ImageNames":["string",...],
            "CreationDateCondition" : {
                "MaximumDaysSinceCreated": integer
            },
            "DeprecationTimeCondition" : {
                "MaximumDaysSinceDeprecated": integer
            }
         },
         ...
}

ImageCriteria 예제

다음 ImageCriteria 예제에서는 4개의 ImageCriterion을 구성합니다. AMI는 이러한 ImageCriterion 중 하나와 일치하는 경우 허용됩니다. 기준이 평가되는 방식에 대한 자세한 정보는 기준 평가 방법 섹션을 참조하세요.

{
    "ImageCriteria": [
        // ImageCriterion 1: Allow AWS Marketplace AMIs with product code "abcdefg1234567890"
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        // ImageCriterion 2: Allow AMIs from providers whose accounts are
        // "123456789012" OR "123456789013" AND AMI age is less than 300 days
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        // ImageCriterion 3: Allow AMIs from provider whose account is "123456789014" 
        // AND with names following the pattern "golden-ami-*"
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        // ImageCriterion 4: Allow AMIs from Amazon or verified providers 
        // AND which aren't deprecated
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ]
}

기준 평가 방법

다음 표에서는 AMI가 허용되는지 확인하는 평가 규칙을 설명하며, 각 수준에서 AND 또는 OR 연산자가 적용되는 방법을 보여줍니다.

위의 평가 규칙을 사용하여 ImageCriteria 예제에 적용하는 방법을 살펴보겠습니다.

Limits

ImageCriteria에는 최대한으로 다음이 포함될 수 있습니다.

각 ImageCriterion에는 다음이 포함될 수 있습니다.

제한의 예

이전 ImageCriteria 예제 사용:

허용된 AMI 작업

허용된 AMI 기능에는 이미지 기준을 관리하기 위한 활성화, 비활성화 및 감사 모드의 세 가지 운영 상태가 있습니다. 이를 통해 이미지 기준을 활성화 또는 비활성화하거나 필요에 따라 검토할 수 있습니다.

허용된 AMI 구현 모범 사례

허용된 AMI를 구현할 때는 이러한 모범 사례를 고려하여 원활한 전환을 보장하고 AWS 환경의 잠재적 중단을 최소화할 수 있습니다.

필수 IAM 권한

허용된 AMI 기능을 사용하려면 다음 IAM 권한이 필요합니다.