Verwenden Sie IAM serviceverknüpfte Rollen für Image Builder

EC2Image Builder verwendet dienstverknüpfte Rollen AWS Identity and Access Management (IAM). Eine dienstverknüpfte Rolle ist ein einzigartiger IAM Rollentyp, der direkt mit Image Builder verknüpft ist. Dienstbezogene Rollen sind von Image Builder vordefiniert und enthalten alle Berechtigungen, die der Dienst benötigt, um andere in AWS-Services Ihrem Namen aufzurufen.

Eine dienstbezogene Rolle macht die Einrichtung von Image Builder effizienter, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Image Builder definiert die Berechtigungen seiner dienstbezogenen Rollen, und sofern nicht anders definiert, kann nur Image Builder seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Die Berechtigungsrichtlinie kann keiner anderen IAM Entität zugewiesen werden.

Informationen zu anderen Diensten, die dienstverknüpfte Rollen unterstützen AWS-Services , finden Sie unter Diese Dienste funktionieren mit IAM. Suchen Sie in der Spalte Serviceverknüpfte Rolle nach den Diensten, für die Ja steht. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Dienstbezogene Rollenberechtigungen für Image Builder

Image Builder verwendet den AWSServiceRoleForImageBuilderMit einem Dienst verknüpfte Rolle, damit EC2 Image Builder in Ihrem Namen auf AWS Ressourcen zugreifen kann. Die serviceverknüpfte Rolle vertraut darauf, dass der Service imagebuilder.amazonaws.com die Rolle übernimmt.

Sie müssen diese serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie Ihr erstes Image Builder-Image in der AWS Management Console erstellen, erstellt der AWS CLI oder der AWS API Image Builder die serviceverknüpfte Rolle für Sie.

Mit den folgenden Aktionen wird ein neues Image erstellt:

• Führen Sie den Pipeline-Assistenten in der Image Builder Builder-Konsole aus, um ein benutzerdefiniertes Image zu erstellen.

• Verwenden Sie eine der folgenden API Aktionen oder den entsprechenden AWS CLI Befehl:

  • Die CreateImage API Aktion (create-imagein der AWS CLI).

  • Die ImportVmImage API Aktion (import-vm-imagein der AWS CLI).

  • Die StartImagePipelineExecution API Aktion (start-image-pipeline-executionin der AWS CLI).

Wichtig

Wenn die mit dem Dienst verknüpfte Rolle aus Ihrem Konto gelöscht wird, können Sie sie auf dieselbe Weise erneut erstellen. Wenn Sie Ihre erste EC2 Image Builder-Ressource erstellen, erstellt Image Builder die serviceverknüpfte Rolle erneut für Sie.

Um die Berechtigungen für die zu sehen AWSServiceRoleForImageBuilder, siehe die AWSServiceRoleForImageBuilder policy Seite. Weitere Informationen zur Konfiguration von Berechtigungen für eine dienstverknüpfte Rolle finden Sie unter Berechtigungen für dienstverknüpfte Rollen im IAMBenutzerhandbuch.

Entfernen einer mit dem Image Builder Builder-Dienst verknüpften Rolle aus Ihrem Konto

Sie können die IAM Konsole, die oder die verwenden AWS CLI, AWS API um die dienstverknüpfte Rolle für Image Builder manuell aus Ihrem Konto zu entfernen. Bevor Sie dies tun, müssen Sie jedoch sicherstellen, dass keine Image Builder Builder-Ressourcen aktiviert sind, die darauf verweisen.

Anmerkung

Wenn der Image Builder Builder-Dienst die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.

Von der AWSServiceRoleForImageBuilder Rolle verwendete Image Builder Builder-Ressourcen bereinigen

1. Stellen Sie vor dem Start sicher, dass keine Pipeline-Builds ausgeführt werden. Um einen laufenden Build abzubrechen, verwenden Sie den cancel-image-creation Befehl von AWS CLI.

   aws imagebuilder cancel-image-creation --image-build-version-arn arn:aws:imagebuilder:us-east-1:123456789012:image-pipeline/sample-pipeline

2. Ändern Sie alle Pipeline-Zeitpläne so, dass sie einen manuellen Erstellungsprozess verwenden, oder löschen Sie sie, wenn Sie sie nicht mehr verwenden möchten. Weitere Informationen zum Löschen von Ressourcen finden Sie unterLöschen Sie veraltete oder ungenutzte Image Builder Builder-Ressourcen.

Löschen Sie die mit dem Dienst verknüpfte Rolle mit IAM

Sie können die IAM Konsole, die oder die verwenden AWS CLI, AWS API um die AWSServiceRoleForImageBuilder Rolle aus Ihrem Konto zu löschen. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Löschen einer serviceverknüpften Rolle.

Unterstützte Regionen für mit dem Service verknüpfte Image Builder Builder-Rollen

Image Builder unterstützt die Verwendung von dienstbezogenen Rollen in allen AWS Regionen, in denen der Service verfügbar ist. Eine Liste der unterstützten AWS Regionen finden Sie unterAWS Regionen und Endpunkte.