View a markdown version of this page

Concedere le autorizzazioni per copiare le AMI Amazon EC2 - Amazon Elastic Compute Cloud
Esempio di policy IAM per copiare un EBS-backed AMI e etichettare l'AMI e le istantanee di destinazioneEsempio di politica IAM per copiare un EBS-backed AMI ma negare l'etichettatura delle nuove istantaneeEsempio di policy IAM per copiare un S3-backed AMI Amazon e etichettare l'AMI di destinazione

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Concedere le autorizzazioni per copiare le AMI Amazon EC2

Per copiare un' S3-backed AMI EBS-backed o Amazon, sono necessarie le seguenti autorizzazioni IAM:

  • ec2:CopyImage – Per copiare l'AMI. Per le EBS-backed AMI, concede anche l'autorizzazione a copiare le istantanee di supporto dell'AMI.

  • ec2:CreateTags – Per taggare l'AMI di destinazione. Per le EBS-backed AMI, concede anche l'autorizzazione a etichettare le istantanee di supporto dell'AMI di destinazione.

Se stai copiando un'AMI supportata da un archivio dell'istanza, sono necessarie le seguenti autorizzazioni IAM aggiuntive:

Nota

A partire dal 28 ottobre 2024, puoi specificare le autorizzazioni a livello di risorsa per l'azione CopyImage sull'AMI di origine. Resource-level le autorizzazioni per l'AMI di destinazione sono disponibili come in precedenza. Per ulteriori informazioni, consulta la tabella CopyImagein Azioni definite da Amazon EC2 nel Service Authorization Reference.

Esempio di policy IAM per copiare un EBS-backed AMI e etichettare l'AMI e le istantanee di destinazione

La seguente politica di esempio ti concede l'autorizzazione a copiare qualsiasi EBS-backed AMI e taggare l'AMI di destinazione e le relative istantanee di supporto.

Nota

A partire dal 28 ottobre 2024, è possibile specificare gli snapshot nell'elemento Resource. Per ulteriori informazioni, consulta la tabella CopyImagein Azioni definite da Amazon EC2 nel Service Authorization Reference.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
        "Sid": "PermissionToCopyAllImages",
        "Effect": "Allow",
        "Action": [
            "ec2:CopyImage",
            "ec2:CreateTags"
        ],
        "Resource": [
            "arn:aws:ec2:*::image/*",
            "arn:aws:ec2:*::snapshot/*"
        ]
    }]
}

Esempio di politica IAM per copiare un EBS-backed AMI ma negare l'etichettatura delle nuove istantanee

L'autorizzazione ec2:CopySnapshot viene concessa automaticamente quando si ottiene l'autorizzazione ec2:CopyImage. L'autorizzazione a taggare i nuovi snapshot di supporto può essere negata esplicitamente, annullando l'effetto Allow dell'azione ec2:CreateTags.

La seguente politica di esempio ti concede l'autorizzazione a copiare qualsiasi EBS-backed AMI, ma ti impedisce di taggare le nuove istantanee di supporto dell'AMI di destinazione.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ec2:CopyImage",
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*::image/*",
                "arn:aws:ec2:*::snapshot/*"
            ]
        },
        {
            "Effect": "Deny",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:::snapshot/*"
        }
    ]
}

Esempio di policy IAM per copiare un S3-backed AMI Amazon e etichettare l'AMI di destinazione

La seguente politica di esempio ti concede l'autorizzazione a copiare qualsiasi S3-backed AMI Amazon nel bucket di origine specificato nella regione specificata e contrassegnare l'AMI di destinazione.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
            "Sid": "PermissionToCopyAllImages",
            "Effect": "Allow",
            "Action": [
                "ec2:CopyImage",
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*::image/*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": [
                "arn:aws:s3:::*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-source-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:GetBucketAcl",
                "s3:PutObjectAcl",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::amis-for-111122223333-in-us-east-2-hash"
            ]
        }
    ]
}

Per trovare l'Amazon Resource Name (ARN) del bucket di origine AMI, apri la console Amazon EC2 all'indirizzo https://console.aws.amazon.com/ec2/, nel pannello di navigazione scegli AMI e individua il nome del bucket nella colonna Source.

Nota

L's3:CreateBucketautorizzazione è necessaria solo la prima volta che copi un S3-backed AMI Amazon in una singola regione. Successivamente, il bucket Amazon S3 già creato nella regione viene utilizzato per archiviare tutte le AMIs future copiate in quella regione.