透過允許 AMI 在 Amazon EC2 控制 AMI 的探索及使用

若要控制使用者在 AWS 帳戶 對於 Amazon Machine Images (AMI) 的探索及使用，您可以使用允許 AMI 功能。您可指定 AMI 必須符合的條件，才能在您的帳戶中可見且可供使用。在啟用條件之後，啟動執行個體的使用者只會看到並存取符合指定條件的 AMI。例如，您可指定受信任的 AMI 供應商清單作為條件，只有來自這些供應商的 AMI 才可見且可供使用。

在啟用允許 AMI 設定之前，您可啟用稽核模式，以預覽 AMI 是否可見且可供使用。這可讓您根據需要調整條件，確保只有預期的 AMI 可見且可供您帳戶的使用者使用。此外，使用 describe-instance-image-metadata 命令，來尋找使用不符合指定條件的 AMI 啟動的執行個體。此資訊可指導您決定是否更新啟動組態以使用符合規範的 AMI (例如，在啟動範本指定不同 AMI)，或調整條件以允許這些 AMI。

您可直接在帳戶或使用宣告式政策，在帳戶層級指定允許 AMI 設定。這些設定必須在您想要控制 AMI 用量的每個 AWS 區域 位置設定。您可使用宣告式政策同時在多個區域及多個帳戶套用設定。使用宣告式政策時，您無法直接在帳戶中修改設定。本主題說明如何直接在帳戶內配置設定。如需使用宣告式政策的相關資訊，請參閱「AWS Organizations 使用者指南」中的宣告式政策。

允許 AMI 運作方式

如需控制在帳戶中可探索及使用哪些 AMI，您可定義評估 AMI 的條件集。這些條件由如下圖所示的一個或多個 ImageCriterion 組成。說明性文字遵循圖表。

組態具有三個層級：

允許的 AMI 參數

還可設定以下參數來建立 ImageCriterion：

若要了解每個條件的有效值與約束條件，請參閱 Amazon EC2 API 參考中的 ImageCriterionRequest。

允許的 AMI 組態

允許的 AMI 核心組態為 ImageCriteria 組態，其定義允許 AMI 的條件。下面的 JSON 結構顯示可指定的參數：

{
    "State": "enabled" | "disabled" | "audit-mode",  
    "ImageCriteria" : [
        {
            "ImageProviders": ["string",...],
            "MarketplaceProductCodes": ["string",...],           
            "ImageNames":["string",...],
            "CreationDateCondition" : {
                "MaximumDaysSinceCreated": integer
            },
            "DeprecationTimeCondition" : {
                "MaximumDaysSinceDeprecated": integer
            }
         },
         ...
}

ImageCriteria 範例

下面的 ImageCriteria 範例可設定四個 ImageCriterion。若 AMI 與這些 ImageCriterion 中的任何一個相符，則允許該 AMI。若要了解有關如何評估條件的詳細資訊，請參閱 條件評估方式。

{
    "ImageCriteria": [
        // ImageCriterion 1: Allow AWS Marketplace AMIs with product code "abcdefg1234567890"
        {
            "MarketplaceProductCodes": [
                "abcdefg1234567890"
            ]
        },
        // ImageCriterion 2: Allow AMIs from providers whose accounts are
        // "123456789012" OR "123456789013" AND AMI age is less than 300 days
        {
            "ImageProviders": [
                "123456789012",
                "123456789013"
            ],
            "CreationDateCondition": {
                "MaximumDaysSinceCreated": 300
            }
        },
        // ImageCriterion 3: Allow AMIs from provider whose account is "123456789014" 
        // AND with names following the pattern "golden-ami-*"
        {
            "ImageProviders": [
                "123456789014"
            ],
            "ImageNames": [
                "golden-ami-*"
            ]
        },
        // ImageCriterion 4: Allow AMIs from Amazon or verified providers 
        // AND which aren't deprecated
        {
            "ImageProviders": [
                "amazon"
            ],
            "DeprecationTimeCondition": {
                "MaximumDaysSinceDeprecated": 0
            }
        }
    ]
}

條件評估方式

下表說明了確定是否允許 AMI 的評估規則，並顯示了 AND 或 OR 運算子如何在每個層級套用：

我們使用上述評估規則，來了解如何套用規則至 ImageCriteria 範例：

限制

ImageCriteria 可包括最多：

每個 ImageCriterion 可包括最多：

限制範例

使用上述 ImageCriteria 範例：

允許 AMI 操作

允許的 AMI 功能有三種操作狀態來管理映像條件：已啟用、已停用和稽核模式。這些模式可讓您啟用或停用映像條件，或根據需要來檢閱這些條件。

實作允許 AMI 的最佳實務

當實作允許 AMI 時，請考慮這些最佳實務，以確保順暢轉換，並將對 AWS 環境的潛在干擾降至最低。

所需的 IAM 許可

若要使用允許 AMI 功能，您需要下列 IAM 許可：