VM Import/Export 所需的权限

若要创建服务角色

1. 在您的计算机上创建一个名为 trust-policy.json 的文件。将以下策略添加到该文件中：

   JSON

   {
      "Version":"2012-10-17",		 	 	 
      "Statement": [
         {
            "Effect": "Allow",
            "Principal": { "Service": "vmie.amazonaws.com" },
            "Action": "sts:AssumeRole",
            "Condition": {
               "StringEquals":{
                  "sts:Externalid": "vmimport"
               }
            }
         }
      ]
   }
   

2. 使用 create-role 命令创建名为 vmimport 的角色，并向 VM Import/Export 提供对该角色的访问权。确保您已指定在上一步中创建的 trust-policy.json 文件的位置的完整路径，并包含 file:// 前缀，如下例所示：

   aws iam create-role --role-name vmimport --assume-role-policy-document "file://C:\import\trust-policy.json"

3. 创建名为 role-policy.json 的文件并附上以下策略，其中，amzn-s3-demo-import-bucket 为导入磁盘映像的存储桶，amzn-s3-demo-export-bucket 为导出磁盘映像的存储桶：

   JSON

   {
      "Version":"2012-10-17",		 	 	 
      "Statement":[
         {
            "Effect": "Allow",
            "Action": [
               "s3:GetBucketLocation",
               "s3:GetObject",
               "s3:ListBucket" 
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-import-bucket",
               "arn:aws:s3:::amzn-s3-demo-import-bucket/*"
            ]
         },
         {
            "Effect": "Allow",
            "Action": [
               "s3:GetBucketLocation",
               "s3:GetObject",
               "s3:ListBucket",
               "s3:PutObject",
               "s3:GetBucketAcl"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-export-bucket",
               "arn:aws:s3:::amzn-s3-demo-export-bucket/*"
            ]
         },
         {
            "Effect": "Allow",
            "Action": [
               "ec2:ModifySnapshotAttribute",
               "ec2:CopySnapshot",
               "ec2:RegisterImage",
               "ec2:Describe*"
            ],
            "Resource": "*"
         }
      ]
   }
   

4. （可选）如果您需要从 AWS Key Management Service 导入使用AWS KMS密钥加密的资源，请将以下权限添加到 role-policy.json 文件中。

   {
     "Effect": "Allow",
     "Action": [
       "kms:CreateGrant",
       "kms:Decrypt",
       "kms:DescribeKey",
       "kms:Encrypt",
       "kms:GenerateDataKey*",
       "kms:ReEncrypt*"
     ],
     "Resource": "*"
   }

   如果您使用 Amazon EBS 提供的默认密钥以外的 KMS 密钥，则如果您默认启用 Amazon EBS 加密或在导入操作中启用加密，则必须向 KMS 密钥授予 VM Import/Export 权限。您可以将 KMS 密钥的 Amazon 资源名称（ARN）指定为资源，而不是 *。

5. （可选）如果您想将许可证配置附加到 AMI，请向 role-policy.json 文件添加以下 License Manager 权限。

   {
     "Effect": "Allow",
     "Action": [
       "license-manager:GetLicenseConfiguration",
       "license-manager:UpdateLicenseSpecificationsForResource",
       "license-manager:ListLicenseSpecificationsForResource"
     ],
     "Resource": "*"
   }

6. 使用下面的 put-role-policy 命令将策略挂载到之前创建的角色。请务必指定 role-policy.json 文件位置的完整路径。

   aws iam put-role-policy --role-name vmimport --policy-name vmimport --policy-document "file://C:\import\role-policy.json"

7. 要进行其他安全控制，可以将上下文密钥（例如 aws:SourceAccount 和 aws:SourceArn）添加到此新创建角色的信任策略中。VM Import/Export 将按照以下示例发布 SourceAccount 和 SourceArn 密钥来代入此角色：

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "vmie.amazonaws.com"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "sts:Externalid": "vmimport",
                       "aws:SourceAccount": "111122223333"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:vmie:*:111122223333:*"
                   }
               }
           }
       ]
   }