Verwenden der Startvorlagen für das Starten von Instances

Sie können festlegen, dass Benutzer Instances nur über eine Startvorlage starten können und dass sie nur eine bestimmte Startvorlage verwenden dürfen. Sie können auch festlegen, wer Startvorlagen und Versionen von Startvorlagen erstellen, ändern, beschreiben und löschen darf.

Verwenden von Startvorlagen zum Steuern von Startparametern

Eine Startvorlage kann alle oder einige der Parameter zum Starten einer Instance enthalten. Wenn Sie eine Instance über eine Startvorlage starten, können Sie Parameter außer Kraft setzen, die in der Startvorlage angegeben werden. Sie können auch zusätzliche Parameter angeben, die nicht in der Startvorlage enthalten sind.

Anmerkung

Sie können während des Starts keine Startvorlagenparameter entfernen (Sie können beispielsweise keinen Nullwert für den Parameter angeben). Um einen Parameter zu entfernen, erstellen Sie eine neue Version der Startvorlage ohne den Parameter und starten Sie die Instance mit dieser Version.

Zum Starten von Instances müssen Benutzer über die Berechtigung zur Verwendung der ec2:RunInstances-Aktion verfügen. Benutzer müssen außerdem über Berechtigungen zum Erstellen oder Verwenden der Ressourcen verfügen, die mit der Instance erstellt oder ihr zugewiesen werden. Sie können für die Aktion ec2:RunInstances Berechtigungen auf Ressourcenebene verwenden, um die Startparameter zu steuern, die die Benutzer festlegen können. Alternativ können Sie Benutzern gestatten, eine Instance unter Nutzung einer Startvorlage zu starten. Auf diese Weise können Sie Startparameter über eine Startvorlage anstatt über eine IAM-Richtlinie verwalten und eine Startvorlage als Autorisierungsmethode für das Starten von Instances einsetzen. Sie können z. B. festlegen, dass Benutzer Instances nur über eine Startvorlage starten und dass sie nur eine bestimmte Startvorlage verwenden können. Sie können auch steuern, welche Startparameter Benutzer in der Startvorlage außer Kraft setzen dürfen. Beispiele für Richtlinien finden Sie unter Startvorlagen.

Steuern der Nutzung von Startvorlagen

Standardmäßig sind -Benutzer nicht zum Arbeiten mit Startvorlagen berechtigt. Sie können eine Richtlinie erstellen, über die Benutzer Berechtigungen zum Erstellen, Ändern, Beschreiben und Löschen von Startvorlagen und Startvorlagenversionen erhalten. Sie können auf einige Startvorlagen-Aktionen auch Berechtigungen auf Ressourcenebene anwenden, mit denen Sie steuern können, welche Ressourcen Benutzer für diese Aktionen nutzen können. Weitere Informationen erhalten Sie in den folgenden Beispielrichtlinien: Beispiel: Arbeiten mit Startvorlagen.

Überlegen Sie sorgfältig, wenn Sie Benutzern Berechtigungen zur Verwendung der Aktionen ec2:CreateLaunchTemplate und ec2:CreateLaunchTemplateVersion erteilen. Mit Berechtigungen auf Ressourcenebene können Sie nicht steuern, welche Ressourcen Benutzer in der Startvorlage angeben können. Um einzuschränken, welche Ressourcen zum Starten einer Instance verwendet werden, achten Sie darauf, nur die betreffenden Administratoren zum Erstellen von Startvorlagen und Startvorlagenversionen zu berechtigen.

Wichtige Sicherheitsaspekte bei der Verwendung von Startvorlagen mit EC2-Flotte oder -Spot-Flotte

Zur Verwendung von Startvorlagen müssen Sie Ihren Benutzern auch Berechtigungen zum Erstellen, Ändern, Beschreiben und Löschen von Startvorlagen und Startvorlagenversionen erteilen. Sie können steuern, wer Startvorlagen und Startvorlagenversionen erstellen kann, indem Sie den Zugriff auf die Aktionen ec2:CreateLaunchTemplate und ec2:CreateLaunchTemplateVersion steuern. Sie können auch steuern, wer Startvorlagen ändern kann, indem Sie den Zugriff auf die Aktion ec2:ModifyLaunchTemplate steuern.

Wichtig

Wenn eine EC2-Flotte oder Spot-Flotte so konfiguriert ist, dass sie die aktuelle oder standardmäßige Startvorlagenversion verwendet, weiß die Flotte nicht, ob die aktuelle Version oder die Standardversion später geändert werden, sodass sie auf eine andere Startvorlagenversion verweisen. Wenn eine andere Version der Startvorlage als aktuelle Version oder Standardversion verwendet wird, überprüft Amazon EC2 die Berechtigungen für auszuführende Aktionen nicht erneut, wenn neue Instances gestartet werden, um die Zielkapazität der Flotte zu erreichen. Dies ist ein wichtiger Aspekt bei der Erteilung von Berechtigungen für die Erstellung und Verwaltung von Startvorlagenversionen, insbesondere bei der Aktion ec2:ModifyLaunchTemplate, die es einem Benutzer ermöglicht, die Standardversion der Startvorlage zu ändern.

Wenn einem Benutzer die Berechtigung erteilt wird, die EC2-Aktionen für die Startvorlagen-APIs zu verwenden, erhält der Benutzer effektiv auch die iam:PassRole-Berechtigung, wenn eine EC2-Flotte oder -Spot-Flotte erstellt oder aktualisiert wird, um auf eine andere Startvorlagenversion zu verweisen, die ein Instance-Profil enthält (einen Container für eine IAM-Rolle). Dies bedeutet, dass ein Benutzer potenziell eine Startvorlage aktualisieren kann, um eine IAM-Rolle an eine Instance zu übergeben, auch wenn er nicht über die entsprechende iam:PassRole-Berechtigung verfügt. Weitere Informationen und ein Beispiel für eine IAM-Richtlinie finden Sie unter Verwenden einer IAM-Rolle zum Erteilen von Berechtigungen für Anwendungen, die auf Amazon-EC2-Instances ausgeführt werden im IAM-Benutzerhandbuch.

Weitere Informationen finden Sie unter Steuern der Nutzung von Startvorlagen und Beispiel: Arbeiten mit Startvorlagen.