Voraussetzungen für das Lebenszyklusmanagement für Image Builder Builder-Images

Bevor Sie EC2 Image Builder Builder-Lebenszyklusmanagement-Richtlinien und -Regeln für Ihre Image-Ressourcen definieren können, müssen Sie die folgenden Voraussetzungen erfüllen.

• Erstellen Sie eine IAM-Rolle, die Image Builder die Erlaubnis erteilt, Lebenszyklusrichtlinien auszuführen. Weitere Informationen zum Erstellen der Rolle finden Sie unter Erstellen Sie eine IAM-Rolle für Image Builder Builder-Lebenszyklusmanagement.

• Erstellen Sie eine IAM-Rolle im Zielkonto für zugeordnete Ressourcen, die auf mehrere Konten verteilt wurden. Die Rolle erteilt Image Builder die Berechtigung, Lebenszyklusaktionen im Zielkonto für zugeordnete Ressourcen durchzuführen. Weitere Informationen zum Erstellen der Rolle finden Sie unter Erstellen Sie eine IAM-Rolle für das kontoübergreifende Lebenszyklusmanagement von Image Builder.

  Anmerkung

  Diese Voraussetzung gilt nicht, wenn Sie Startberechtigungen für ein Ausgabe-AMI erteilt haben. Mit Startberechtigungen besitzt das Konto, mit dem Sie geteilt haben, die Instances, die über das gemeinsam genutzte AMI gestartet werden, aber alle AMI-Ressourcen verbleiben in Ihrem Konto.

• Für Container-Images müssen Sie Ihren ECR-Repositorys das folgende Tag hinzufügen, um Image Builder Zugriff auf die Ausführung von Lebenszyklusaktionen für die im Repository gespeicherten Container-Images zu gewähren:. LifecycleExecutionAccess: EC2 Image Builder

Erstellen Sie eine IAM-Rolle für Image Builder Builder-Lebenszyklusmanagement

Um Image Builder die Berechtigung zur Ausführung von Lebenszyklusrichtlinien zu erteilen, müssen Sie zunächst die IAM-Rolle erstellen, die für die Ausführung von Lebenszyklusaktionen verwendet wird. Gehen Sie wie folgt vor, um die Servicerolle zu erstellen, die die Berechtigung erteilt.

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Wählen Sie im Navigationsbereich Roles (Rollen).

3. Wählen Sie Rolle erstellen aus. Dies öffnet den ersten Schritt des Prozesses. Wählen Sie eine vertrauenswürdige Entität aus, um Ihre Rolle zu erstellen.

4. Wählen Sie die Option Benutzerdefinierte Vertrauensrichtlinie für den Entitätstyp Vertrauenswürdige aus.

5. Kopieren Sie die folgende JSON-Vertrauensrichtlinie und fügen Sie sie in den Textbereich Benutzerdefinierte Vertrauensrichtlinie ein, wobei Sie den Beispieltext ersetzen. Diese Vertrauensrichtlinie ermöglicht es Image Builder, die Rolle anzunehmen, die Sie für die Ausführung von Lebenszyklusaktionen erstellen.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Action": [
                   "sts:AssumeRole"
               ],
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "imagebuilder.amazonaws.com"
                   ]
               }
           }
       ]
   }

6. Wählen Sie die folgende verwaltete Richtlinie aus der Liste aus: EC2ImageBuilderLifecycleExecutionPolicy, wählen Sie dann Weiter. Dadurch wird die Seite „Name“, „Überprüfen“ und „Erstellen“ geöffnet.

   Tipp

   Filtern Sie nachimage, um die Ergebnisse zu optimieren.

7. Geben Sie einen Role name ein.

8. Nachdem Sie Ihre Einstellungen überprüft haben, wählen Sie Rolle erstellen aus.

Erstellen Sie eine IAM-Rolle für das kontoübergreifende Lebenszyklusmanagement von Image Builder

Um Image Builder die Erlaubnis zu erteilen, Lebenszyklusaktionen in Zielkonten für zugeordnete Ressourcen auszuführen, müssen Sie zunächst die IAM-Rolle erstellen, mit der Lebenszyklusaktionen in diesen Konten ausgeführt werden. Sie müssen die Rolle im Zielkonto erstellen.

Gehen Sie wie folgt vor, um die Servicerolle zu erstellen, die Berechtigungen für das Zielkonto gewährt.

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Wählen Sie im Navigationsbereich Roles (Rollen).

3. Wählen Sie Rolle erstellen aus. Dies öffnet den ersten Schritt des Prozesses. Wählen Sie eine vertrauenswürdige Entität aus, um Ihre Rolle zu erstellen.

4. Wählen Sie die Option Benutzerdefinierte Vertrauensrichtlinie für den Entitätstyp Vertrauenswürdige aus.

5. Kopieren Sie die folgende JSON-Vertrauensrichtlinie und fügen Sie sie in den Textbereich Benutzerdefinierte Vertrauensrichtlinie ein, wobei Sie den Beispieltext ersetzen. Diese Vertrauensrichtlinie ermöglicht es Image Builder, die Rolle anzunehmen, die Sie für die Ausführung von Lebenszyklusaktionen erstellen.

   Anmerkung

   Wenn Image Builder diese Rolle im Zielkonto verwendet, um auf zugeordnete Ressourcen zu reagieren, die auf Konten verteilt wurden, handelt es im Namen des Besitzers des Zielkontos. Das Konto AWS-Konto , das Sie aws:SourceAccount in der Vertrauensrichtlinie konfigurieren, ist das Konto, über das Image Builder diese Ressourcen verteilt hat.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "imagebuilder.amazonaws.com"
                   ]
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "444455556666"
                   },
                   "StringLike": {
                       "aws:SourceArn": "arn:*:imagebuilder:*:*:image/*/*/*"
                   }
               }
           }
       ]
   }

6. Wählen Sie die folgende verwaltete Richtlinie aus der Liste aus: EC2ImageBuilderLifecycleExecutionPolicy, wählen Sie dann Weiter. Dadurch wird die Seite „Name“, „Überprüfen“ und „Erstellen“ geöffnet.

   Tipp

   Filtern Sie nachimage, um die Ergebnisse zu optimieren.

7. Geben Sie Ec2ImageBuilderCrossAccountLifecycleAccess als Rollennamen ein.

   Wichtig

   Ec2ImageBuilderCrossAccountLifecycleAccessmuss der Name dieser Rolle sein.

8. Nachdem Sie Ihre Einstellungen überprüft haben, wählen Sie Rolle erstellen aus.