创建和更新 AMI 分配配置

打开 EC2 Image Builder 控制台，网址为https://console.aws.amazon.com/imagebuilder/。

从导航窗格中，选择分配设置。这将显示在您的账户下创建的分配配置的列表。

选择分配设置面板顶部附近的创建分配设置。

在映像类型部分，选择 Amazon Machine Image (AMI) 输出类型。

在常规部分，输入分配配置的名称和可选描述。

在区域设置部分，输入您要分配 AMI 的每个区域的以下详细信息：

1. 默认情况下，AMI 分配到当前区域（区域 1）。区域 1 是分配的来源。区域 1 的某些设置未开放编辑功能。对于您添加的任何区域，您可以从区域下拉列表中选择一个区域。

   Kms 密钥标 AWS KMS key 识用于加密目标区域中映像的 EBS 卷。请务必注意，这不适用于该构建在源区域（区域 1）中使用您的账户创建的原始 AMI。在该构建的分配阶段运行的加密仅适用于分配给其他账户或地区的映像。

   要对在源区域为您的账户创建的 AMI 的 EBS 卷进行加密，您必须在映像配方块设备映射（控制台中的存储（卷））中设置 KMS 密钥。

   Image Builder 将 AMI 复制到您为该区域指定的目标账户。

   先决条件

   要跨账户复制映像，您必须在所有分配目标账户中创建 EC2ImageBuilderDistributionCrossAccountRole 角色，并将 Ec2ImageBuilderCrossAccountDistributionAccess 策略 托管策略附加到该角色。

   输出 AMI 名称为可选项。如果您提供了名称，则最终的输出 AMI 名称会附加一个 AMI 构建时间的时间戳。如果未指定名称，Image Builder 会将构建时间戳附加到配方名称。这样可以确保每次构建的 AMI 名称都是唯一的。

   1. 通过 AMI 共享，您可以向指定的 AWS 委托人授予从您的 AMI 启动实例的访问权限。如果展开 AMI 共享部分，则可以输入以下详细信息：

      • 启动权限 — 如果您想保持 AMI 私有，请选择私有，并允许特定 AWS 委托人访问您的私有 AMI 启动实例。如果要使 AMI 公开，请选择公开。任何 AWS 委托人都可以从您的公有 AMI 启动实例。

      • 委托人-您可以为以下类型的 AWS 委托人授予启动实例的访问权限：

        • AWS 账户-授予对特定 AWS 账户的访问权限

        • 组织单位 (OU) — 授予对 OU 及其所有子实体的访问权限。子实体包括 OUs 和 AWS 帐户。

        • 组织-授予您 AWS Organizations及其所有子实体的访问权限。子实体包括 OUs 和 AWS 帐户。

          首先，选择主体类型。然后在下拉列表右侧的框中，输入要授予访问权限的 AWS 主体的 ID。您可以输入 IDs 多种不同的类型。

   2. 您可以展开 “许可配置” 部分，将使用创建的许可配置附加 AWS License Manager 到您的 Image Builder 映像。许可证配置包含基于您的企业协议条款的许可规则。Image Builder 会自动包含与您的基本 AMI 关联的许可证配置。

   3. 您可以展开 Launch 模板配置部分， EC2 指定用于从您创建的 AMI 启动实例的启动模板。

      如果您使用的是 EC2 启动模板，则可以在构建完成后指示 Image Builder 创建包含最新 AMI ID 的启动模板的新版本。要更新启动模板，请按以下方式配置设置：

      • 启动模板名称 — 选择您希望 Image Builder 更新的启动模板的名称。

      • 设置默认版本 — 选中此复选框可将启动模板的默认版本更新为新版本。

      要添加另一个启动模板配置，请选择添加启动模板配置。您在每个区域最多可以拥有五种启动模板配置。

   4. 您可以展开 SSM 参数配置部分来配置 SSM 参数，该参数将存储分发到目标区域的图像的输出 AMI ID。您可以选择在该地区指定一个分销账户。

      参数名称-输入参数的名称。例如 /output/image/param。

      数据类型-保留默认值 (AWS EC2 Image)。这会让 Systems Manager 验证参数值以确保它是有效的 AMI ID。

2. 要为其他区域添加分配设置，请选择添加区域。

完成后，选择创建设置。

创建 CLI 输入 JSON 文件

使用文件编辑工具创建一个 JSON 文件，其中包含以下示例之一中显示的密钥，以及对您的环境有效的值。这些示例定义了哪些 AWS 账户 AWS Organizations 或哪些组织单位 (OUs) 有权启动您分发到指定区域的 AMI。对文件 create-ami-distribution-configuration.json 进行命名，以便在下一步中使用：

示例 1：分发到 AWS 账户

此示例将 AMI 分配到两个区域，并指定在每个区域都拥有启动权限的 AWS 账户 。

{
	"name": "MyExampleAccountDistribution",
	"description": "Copies AMI to eu-west-1, and specifies accounts that can launch instances in each Region.",
	"distributions": [
		{
			"region": "us-west-2",
			"amiDistributionConfiguration": {
				"name": "Name {{imagebuilder:buildDate}}",
				"description": "An example image name with parameter references",
				"amiTags": {
					"KeyName": "Some Value"
				},
				"launchPermission": {
					"userIds": [
						"987654321012"
					]
				}
			}
		},
		{
			"region": "eu-west-1",
			"amiDistributionConfiguration": {
				"name": "My {{imagebuilder:buildVersion}} image {{imagebuilder:buildDate}}",
				"amiTags": {
					"KeyName": "Some value"
				},
				"launchPermission": {
					"userIds": [
						"100000000001"
					]
				}
			}
		}
	]
}

示例 2：分发给 Organizations OUs

此示例将 AMI 分配到源区域，并指定组织和 OU 启动权限。

{
	"name": "MyExampleAWSOrganizationDistribution",
	"description": "Shares AMI with the Organization and OU",
	"distributions": [
		{
			"region": "us-west-2",
			"amiDistributionConfiguration": {
				"name": "Name {{ imagebuilder:buildDate }}",
				"launchPermission": {
					"organizationArns": [
						"arn:aws:organizations::123456789012:organization/o-myorganization123"
					],
					"organizationalUnitArns": [
						"arn:aws:organizations::123456789012:ou/o-123example/ou-1234-myorganizationalunit"
					]
				}
			}
		}
	]
}

示例 3：将输出的 AMI ID 存储在 SSM 参数中

此示例将输出 AMI ID 存储在分布区域的 AWS Systems Manager 参数存储参数中。

{
	"name": "SSMParameterOutputAMI",
	"description": "Updates an SSM parameter with the output AMI ID for the distribution.",
	"distributions": [
		{
			"region": "us-west-2",
			"amiDistributionConfiguration": {
				"name": "Name {{ imagebuilder:buildDate }}"
			},
			"ssmParameterConfigurations": [
				{
					"amiAccountId": "111122223333",
					"parameterName": "/output/image/param",
					"dataType": "aws:ec2:image"
				}
			]
		}
	]
}

使用创建的文件作为输入，运行以下命令。

aws imagebuilder create-distribution-configuration --cli-input-json file://create-ami-distribution-configuration.json

有关更多详细信息，请参阅 AWS CLI 命令参考中的 create-distribution-configuration。

打开 EC2 Image Builder 控制台，网址为https://console.aws.amazon.com/imagebuilder/。

从导航窗格中，选择分配设置。这将显示在您的账户下创建的分配配置的列表。

要查看详细信息或更新分配配置，请选择配置名称链接。这将打开分配设置的详细视图。

要编辑分配配置，请从分配详细信息部分的右上角选择编辑。某些字段已锁定，例如分配配置的名称和显示为区域 1 的默认区域。有关分配配置设置的更多信息，请参阅 创建 AMI 分发配置。

完成后，选择 Save changes（保存更改）。

创建 CLI 输入 JSON 文件

使用文件编辑工具创建 JSON 文件，其中包含以下示例中显示的密钥以及对您的环境有效的值。此示例使用名为 update-ami-distribution-configuration.json 的文件。

{
	"distributionConfigurationArn": "arn:aws:imagebuilder:us-west-2:123456789012:distribution-configuration/update-ami-distribution-configuration.json",
	"description": "Copies AMI to eu-west-2, and specifies accounts that can launch instances in each Region.",
	"distributions": [
	  {
			"region": "us-west-2",
			"amiDistributionConfiguration": {
				"name": "Name {{imagebuilder:buildDate}}",
				"description": "An example image name with parameter references",
				"launchPermissions": {
					"userIds": [
						"987654321012"
					]
				}
			}
		},
		{
			"region": "eu-west-2",
			"amiDistributionConfiguration": {
				"name": "My {{imagebuilder:buildVersion}} image {{imagebuilder:buildDate}}",
				"tags": {
					"KeyName": "Some value"
				},
				"launchPermissions": {
					"userIds": [
						"100000000001"
					]
				}
			}
		}
	]
}

使用创建的文件作为输入，运行以下命令。

aws imagebuilder update-distribution-configuration --cli-input-json file://update-ami-distribution-configuration.json

有关更多详细信息，请参阅 AWS CLI 命令参考中的 update-distribution-configuration。要更新分配配置资源的标签，请参阅 标记资源 一节。