Permissões necessárias para VM Import/Export

Como criar a função de serviço

1. No computador, crie um arquivo chamado trust-policy.json. Adicione a seguinte política ao arquivo:

   JSON

   {
      "Version":"2012-10-17",		 	 	 
      "Statement": [
         {
            "Effect": "Allow",
            "Principal": { "Service": "vmie.amazonaws.com" },
            "Action": "sts:AssumeRole",
            "Condition": {
               "StringEquals":{
                  "sts:Externalid": "vmimport"
               }
            }
         }
      ]
   }
   

2. Use o comando create-role para criar um perfil denominado vmimport e forneça ao serviço VM Import/Export acesso a ele. Especifique o caminho completo para o local do arquivo trust-policy.json criado na etapa anterior e inclua o prefixo file:// conforme mostrado no exemplo a seguir:

   aws iam create-role --role-name vmimport --assume-role-policy-document "file://C:\import\trust-policy.json"

3. Crie um arquivo denominado role-policy.json com a seguinte política, em que amzn-s3-demo-import-bucket é o bucket para imagens de disco importadas e amzn-s3-demo-export-bucket é o bucket para as imagens de disco exportadas:

   JSON

   {
      "Version":"2012-10-17",		 	 	 
      "Statement":[
         {
            "Effect": "Allow",
            "Action": [
               "s3:GetBucketLocation",
               "s3:GetObject",
               "s3:ListBucket" 
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-import-bucket",
               "arn:aws:s3:::amzn-s3-demo-import-bucket/*"
            ]
         },
         {
            "Effect": "Allow",
            "Action": [
               "s3:GetBucketLocation",
               "s3:GetObject",
               "s3:ListBucket",
               "s3:PutObject",
               "s3:GetBucketAcl"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-export-bucket",
               "arn:aws:s3:::amzn-s3-demo-export-bucket/*"
            ]
         },
         {
            "Effect": "Allow",
            "Action": [
               "ec2:ModifySnapshotAttribute",
               "ec2:CopySnapshot",
               "ec2:RegisterImage",
               "ec2:Describe*"
            ],
            "Resource": "*"
         }
      ]
   }
   

4. (Opcional) Para importar recursos criptografados usando uma chave AWS KMS do AWS Key Management Service, adicione as seguintes permissões ao arquivo role-policy.json.

   {
     "Effect": "Allow",
     "Action": [
       "kms:CreateGrant",
       "kms:Decrypt",
       "kms:DescribeKey",
       "kms:Encrypt",
       "kms:GenerateDataKey*",
       "kms:ReEncrypt*"
     ],
     "Resource": "*"
   }

   Se você usar uma chave KMS diferente da padrão fornecida pelo Amazon EBS, deverá conceder permissão de VM Import/Export para a chave KMS se habilitar a criptografia do Amazon EBS por padrão ou habilitar a criptografia em uma operação de importação. É possível especificar o nome do recurso da Amazon (ARN) da chave do KMS como o recurso em vez de *.

5. (Opcional) Para anexar configurações de licença a uma AMI, adicione as seguintes permissões do License Manager ao arquivo role-policy.json.

   {
     "Effect": "Allow",
     "Action": [
       "license-manager:GetLicenseConfiguration",
       "license-manager:UpdateLicenseSpecificationsForResource",
       "license-manager:ListLicenseSpecificationsForResource"
     ],
     "Resource": "*"
   }

6. Use o seguinte comando put-role-policy para associar a política ao perfil criado acima. Especifique o caminho completo para o local do arquivo role-policy.json.

   aws iam put-role-policy --role-name vmimport --policy-name vmimport --policy-document "file://C:\import\role-policy.json"

7. Para controles de segurança adicionais, chaves de contexto, como aws:SourceAccount e aws:SourceArn podem ser adicionadas à política de confiança desse perfil recém-criado. O VM Import/Export publicará as chaves SourceAccount e SourceArn conforme especificado no exemplo abaixo para assumir esse perfil:

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "vmie.amazonaws.com"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "sts:Externalid": "vmimport",
                       "aws:SourceAccount": "111122223333"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:vmie:*:111122223333:*"
                   }
               }
           }
       ]
   }