As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Integração do Identity and Access Management com o Image Builder

Público

A forma como você usa AWS Identity and Access Management(IAM) difere com base na sua função:

Autenticação com identidades

Para obter informações detalhadas sobre como fornecer autenticação para pessoas e processos em seu Conta da AWS, consulte Identidades no Guia do usuário do IAM.

Permissões do IAM para fluxos de trabalho personalizados

Ao usar fluxos de trabalho personalizados com ações de etapas específicasRegisterImage, como permissões adicionais do IAM, podem ser necessárias além das políticas gerenciadas padrão do Image Builder. Esta seção descreve as permissões adicionais necessárias para ações personalizadas das etapas do fluxo de trabalho.

RegisterImage permissões de ação de etapa

A ação da RegisterImage etapa requer EC2 permissões específicas da Amazon para registrar AMIs e, opcionalmente, recuperar tags de snapshot. Ao usar o includeSnapshotTags parâmetro, são necessárias permissões adicionais para descrever os instantâneos.

Permissões necessárias para a ação da RegisterImage etapa:

Para todos os recursos, permita as seguintes ações:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:RegisterImage",
                "ec2:DescribeSnapshots"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*::image/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "RegisterImage"
                }
            }
        }
    ]
}

Detalhes da permissão:

Comportamento de mesclagem de tags:

Quando includeSnapshotTags estiver ativada, a ação da RegisterImage etapa:

Políticas baseadas em recursos do Image Builder

Para informações sobre como criar um componente, consulte Usar componentes para personalizar sua imagem do Image Builder.

Restringir o acesso do componente do construtor de imagens a endereços IP específicos

O exemplo a seguir concede permissões a qualquer usuário para executar qualquer operação do Image Builder em componentes. No entanto, a solicitação deve se originar no intervalo de endereços IP especificados na condição.

A condição nesta declaração identifica o intervalo 54.240.143.* de endereços IP permitidos do Protocolo de Internet versão 4 (IPv4), com uma exceção: 54.240.143.188.

O Condition bloco usa as NotIpAddress condições IpAddress e e a chave de aws:SourceIp condição, que é uma chave AWS de condição ampla. Para obter mais informações sobre essas chaves de condições, consulte Especificar condições em uma política. Os aws:sourceIp IPv4 valores usam a notação CIDR padrão. Para obter mais informações, consulte Operadores de condição de endereço IP no Guia do usuário do IAM.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Id": "IBPolicyId1",
  "Statement": [
    {
      "Sid": "IPAllow",
      "Effect": "Allow",
      "Action": "imagebuilder:GetComponent",
      "Resource": "arn:aws:imagebuilder:*::examplecomponent/*",
      "Condition": {
         "IpAddress": {"aws:SourceIp": "54.240.143.0/24"},
         "NotIpAddress": {"aws:SourceIp": "54.240.143.188/32"} 
      } 
    } 
  ]
}