Gunakan templat peluncuran untuk mengontrol instans peluncuran

Anda dapat menentukan bahwa pengguna hanya dapat meluncurkan instans jika mereka menggunakan templat peluncuran, dan bahwa mereka hanya dapat menggunakan templat peluncuran tertentu. Anda juga dapat mengontrol siapa yang dapat membuat, memodifikasi, mendeskripsikan, dan menghapus templat peluncuran serta meluncurkan versi templat.

Gunakan templat peluncuran untuk mengontrol parameter peluncuran

Templat peluncuran dapat berisi semua atau beberapa parameter untuk meluncurkan sebuah instans. Saat Anda meluncurkan sebuah instans menggunakan templat peluncuran, Anda dapat mengganti parameter yang ditentukan di templat peluncuran. Atau, Anda dapat menentukan parameter tambahan yang tidak ada di templat peluncuran.

catatan

Anda tidak dapat menghapus parameter templat peluncuran selama peluncuran (misalnya, Anda tidak dapat menentukan nilai null untuk parameter). Untuk menghapus parameter, buat templat peluncuran versi baru tanpa parameter dan gunakan versi tersebut untuk meluncurkan instans.

Untuk meluncurkan instans, pengguna harus memiliki izin untuk menggunakan tindakan ec2:RunInstances. Pengguna juga harus memiliki izin untuk membuat atau menggunakan sumber daya yang dibuat atau dikaitkan dengan instans. Anda dapat menggunakan izin tingkat sumber daya untuk tindakan ec2:RunInstances untuk mengontrol parameter peluncuran yang dapat ditentukan pengguna. Atau, Anda dapat memberi pengguna izin untuk meluncurkan sebuah instans menggunakan templat peluncuran. Ini memungkinkan Anda untuk mengelola parameter peluncuran dalam template peluncuran, bukan dalam IAM kebijakan, dan menggunakan template peluncuran sebagai kendaraan otorisasi untuk meluncurkan instance. Misalnya, Anda dapat menentukan bahwa pengguna hanya dapat meluncurkan instans menggunakan templat peluncuran, dan bahwa mereka hanya dapat menggunakan templat peluncuran tertentu. Anda juga dapat mengontrol parameter peluncuran yang dapat diganti pengguna di templat peluncuran. Misalnya kebijakan, lihat .Templat peluncuran

Mengontrol penggunaan templat peluncuran

Secara default, pengguna tidak memiliki izin untuk menggunakan templat peluncuran. Anda dapat membuat kebijakan yang memberikan izin kepada pengguna untuk membuat, memodifikasi, menjelaskan, dan menghapus templat peluncuran serta versi templat peluncuran. Anda juga dapat menerapkan izin tingkat sumber daya ke beberapa tindakan templat peluncuran untuk mengontrol kemampuan pengguna untuk menggunakan sumber daya tertentu untuk tindakan tersebut. Untuk informasi selengkapnya, lihat contoh kebijakan berikut ini: Contoh: Cara menggunakan templat peluncuran.

Berhati-hatilah saat memberikan izin kepada pengguna untuk menggunakan tindakan ec2:CreateLaunchTemplate dan ec2:CreateLaunchTemplateVersion. Anda tidak dapat menggunakan izin tingkat sumber daya untuk mengontrol sumber daya mana yang dapat ditentukan pengguna di templat peluncuran. Untuk membatasi sumber daya yang digunakan untuk meluncurkan sebuah instans, pastikan Anda memberikan izin untuk membuat templat peluncuran dan meluncurkan versi templat hanya untuk administrator yang sesuai.

Masalah keamanan penting saat menggunakan templat peluncuran dengan EC2 Armada atau Armada Spot

Untuk menggunakan templat peluncuran, Anda harus memberikan izin kepada pengguna untuk membuat, memodifikasi, mendeskripsikan, dan menghapus templat peluncuran dan versi templat peluncuran. Anda dapat mengontrol siapa yang dapat membuat templat peluncuran dan meluncurkan versi templat dengan mengontrol akses ke tindakan ec2:CreateLaunchTemplate dan ec2:CreateLaunchTemplateVersion. Anda juga dapat mengontrol siapa yang dapat memodifikasi templat peluncuran dengan mengontrol akses ke tindakan ec2:ModifyLaunchTemplate.

penting

Jika EC2 Armada atau Armada Spot dikonfigurasi untuk menggunakan versi template peluncuran Terbaru atau Default, armada tidak mengetahui apakah Terbaru atau Default kemudian diubah untuk menunjuk ke versi template peluncuran yang berbeda. Ketika versi template peluncuran yang berbeda digunakan untuk Terbaru atau Default, Amazon EC2 tidak memeriksa kembali izin untuk tindakan yang harus diselesaikan saat meluncurkan instance baru untuk memenuhi kapasitas target armada. Ini adalah pertimbangan penting saat memberikan izin kepada siapa yang dapat membuat dan mengelola versi templat peluncuran, terutama tindakan ec2:ModifyLaunchTemplate yang memungkinkan pengguna untuk mengubah versi templat peluncuran default.

Dengan memberikan izin pengguna untuk menggunakan EC2 tindakan untuk template peluncuranAPIs, pengguna juga secara efektif diberikan iam:PassRole izin jika mereka membuat atau memperbarui EC2 Armada Armada atau Armada Spot untuk menunjuk ke versi template peluncuran berbeda yang berisi profil instance (wadah untuk IAM peran). Ini berarti bahwa pengguna berpotensi memperbarui template peluncuran untuk meneruskan IAM peran ke instance bahkan jika mereka tidak memiliki iam:PassRole izin. Untuk informasi selengkapnya dan IAM kebijakan contoh, lihat Menggunakan IAM peran untuk memberikan izin ke aplikasi yang berjalan di EC2 instans Amazon di IAMPanduan Pengguna.

Untuk informasi selengkapnya, silakan lihat Mengontrol penggunaan templat peluncuran dan Contoh: Cara menggunakan templat peluncuran.