Operazioni, risorse e chiavi di condizione per Amazon EC2 Image Builder

Amazon EC2 Image Builder (prefisso del servizio: imagebuilder) fornisce le seguenti risorse, operazioni e chiavi di contesto della condizione specifiche del servizio per l'utilizzo in policy delle autorizzazioni IAM.

Riferimenti:

• Scopri come configurare questo servizio.

• Visualizza un elenco delle operazioni API disponibili per questo servizio.

• Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni di IAM.

Operazioni definite da Amazon EC2 Image Builder

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

La colonna Tipi di risorsa della tabella Operazioni indica se ogni operazione supporta le autorizzazioni a livello di risorsa. Se non vi è nessun valore in corrispondenza di questa colonna, è necessario specificare tutte le risorse ("*") alle quali si applica la policy nell'elemento Resource dell'istruzione di policy. Se la colonna include un tipo di risorsa, puoi specificare un ARN di quel tipo in una istruzione con tale operazione. Se l'operazione ha una o più risorse richieste, il chiamante deve disporre dell'autorizzazione per utilizzare l'operazione con tali risorse. Le risorse richieste sono indicate nella tabella con un asterisco (*). Se si limita l'accesso alle risorse con l'elemento Resource in una policy IAM, è necessario includere un ARN o un modello per ogni tipo di risorsa richiesta. Alcune operazioni supportano più tipi di risorse. Se il tipo di risorsa è facoltativo (non indicato come obbligatorio), puoi scegliere di utilizzare uno tra i tipi di risorsa facoltativi.

La colonna Chiavi di condizione della tabella Operazioni contiene le chiavi che è possibile specificare nell'elemento Condition di un'istruzione di policy. Per ulteriori informazioni sulle chiavi di condizione associate alle risorse per il servizio guarda la colonna Chiavi di condizione della tabella Tipi di risorsa.

Nota

Le chiavi relative alle condizioni delle risorse sono elencate nella tabella Tipi di risorse. Nella colonna Tipi di risorse (*obbligatorio) della tabella Operazioni è presente un collegamento al tipo di risorsa che si applica a un'operazione. Il tipo di risorsa nella tabella Tipi di risorse include la colonna Chiavi di condizione, che contiene le chiavi delle condizioni delle risorse che si applicano a un'operazione nella tabella Operazioni.

Per dettagli sulle colonne nella tabella seguente, consultare Tabella delle operazioni.

Azioni	Descrizione	Livello di accesso	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Operazioni dipendenti
CancelImageCreation	Concede l'autorizzazione per annullare la creazione di un'immagine	Scrittura	image*
CancelLifecycleExecution	Concede l'autorizzazione per annullare l'esecuzione di un ciclo di vita	Scrittura	lifecycleExecution*
CreateComponent	Concede l'autorizzazione per creare un nuovo componente	Scrittura	component*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole imagebuilder:TagResource kms:Encrypt kms:GenerateDataKey kms:GenerateDataKeyWithoutPlaintext
CreateContainerRecipe	Concede l'autorizzazione per creare una nuova recipe del container	Scrittura	containerRecipe*	aws:RequestTag/${TagKey} aws:TagKeys	ecr:DescribeImages ecr:DescribeRepositories iam:CreateServiceLinkedRole imagebuilder:GetComponent imagebuilder:GetImage imagebuilder:TagResource kms:Encrypt kms:GenerateDataKey kms:GenerateDataKeyWithoutPlaintext
CreateDistributionConfiguration	Concede l'autorizzazione per creare una nuova configurazione di distribuzione	Scrittura	distributionConfiguration*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole imagebuilder:TagResource
CreateImage	Concede l'autorizzazione per creare una nuova immagine	Scrittura	image*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole iam:PassRole imagebuilder:GetContainerRecipe imagebuilder:GetDistributionConfiguration imagebuilder:GetImageRecipe imagebuilder:GetInfrastructureConfiguration imagebuilder:GetWorkflow imagebuilder:TagResource
CreateImagePipeline	Concede l'autorizzazione per creare una nuova pipeline di immagini	Scrittura	imagePipeline*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole iam:PassRole imagebuilder:GetContainerRecipe imagebuilder:GetDistributionConfiguration imagebuilder:GetImageRecipe imagebuilder:GetInfrastructureConfiguration imagebuilder:GetWorkflow imagebuilder:TagResource
CreateImageRecipe	Concede l'autorizzazione per creare una nuova recipe di immagine	Scrittura	imageRecipe*	aws:RequestTag/${TagKey} aws:TagKeys	ec2:DescribeImages iam:CreateServiceLinkedRole imagebuilder:GetComponent imagebuilder:GetImage imagebuilder:TagResource
CreateInfrastructureConfiguration	Concede l'autorizzazione per creare una nuova configurazione dell'infrastruttura	Scrittura	infrastructureConfiguration*	aws:RequestTag/${TagKey} aws:TagKeys imagebuilder:CreatedResourceTagKeys imagebuilder:CreatedResourceTag/<key> imagebuilder:Ec2MetadataHttpTokens imagebuilder:StatusTopicArn	iam:CreateServiceLinkedRole iam:PassRole imagebuilder:TagResource sns:Publish
CreateLifecyclePolicy	Concede l'autorizzazione per creare una nuova policy del ciclo di vita	Scrittura	lifecyclePolicy*	aws:RequestTag/${TagKey} aws:TagKeys imagebuilder:LifecyclePolicyResourceType	iam:PassRole imagebuilder:TagResource
CreateWorkflow	Concede l'autorizzazione per la creazione di un nuovo flusso di lavoro	Scrittura	workflow*	aws:RequestTag/${TagKey} aws:TagKeys	imagebuilder:TagResource kms:Encrypt kms:GenerateDataKey kms:GenerateDataKeyWithoutPlaintext s3:GetObject s3:ListBucket
DeleteComponent	Concede l'autorizzazione per eliminare un componente	Scrittura	component*
DeleteContainerRecipe	Concede l'autorizzazione per eliminare una recipe del container	Scrittura	containerRecipe*
DeleteDistributionConfiguration	Concede l'autorizzazione per eliminare una configurazione di distribuzione	Scrittura	distributionConfiguration*
DeleteImage	Concede l'autorizzazione per eliminare un'immagine	Scrittura	image*
DeleteImagePipeline	Concede l'autorizzazione per eliminare una pipeline di immagini	Scrittura	imagePipeline*
DeleteImageRecipe	Concede l'autorizzazione per eliminare una recipe di immagine	Scrittura	imageRecipe*
DeleteInfrastructureConfiguration	Concede l'autorizzazione per eliminare una configurazione di infrastruttura	Scrittura	infrastructureConfiguration*
DeleteLifecyclePolicy	Concede l'autorizzazione per eliminare una policy del ciclo di vita	Scrittura	lifecyclePolicy*
DeleteWorkflow	Concede l'autorizzazione per eliminare un flusso di lavoro.	Scrittura	workflow*
GetComponent	Concede l'autorizzazione per visualizzare i dettagli su un componente	Lettura	component*		kms:Decrypt
GetComponentPolicy	Concede l'autorizzazione per visualizzare la policy della risorsa associata a un componente	Lettura	component*
GetContainerRecipe	Concede l'autorizzazione per visualizzare i dettagli su una recipe del container	Lettura	containerRecipe*
GetContainerRecipePolicy	Concede l'autorizzazione per visualizzare la policy della risorsa associata a una recipe del container	Lettura	containerRecipe*
GetDistributionConfiguration	Concede l'autorizzazione per visualizzare i dettagli su una configurazione di distribuzione	Lettura	distributionConfiguration*
GetImage	Concede l'autorizzazione per visualizzare i dettagli di un'immagine	Lettura	image*	aws:ResourceTag/${TagKey}
GetImagePipeline	Concede l'autorizzazione per visualizzare i dettagli su una pipeline di immagini	Lettura	imagePipeline*
GetImagePolicy	Concede l'autorizzazione per visualizzare la policy della risorsa associata a un'immagine	Lettura	image*
GetImageRecipe	Concede l'autorizzazione per visualizzare i dettagli su una recipe di immagine	Lettura	imageRecipe*
GetImageRecipePolicy	Concede l'autorizzazione per visualizzare la policy della risorsa associata a una recipe di immagine	Lettura	imageRecipe*
GetInfrastructureConfiguration	Concede l'autorizzazione per visualizzare i dettagli su una configurazione di infrastruttura	Lettura	infrastructureConfiguration*
GetLifecycleExecution	Concede l'autorizzazione per visualizzare i dettagli dell'esecuzione di un ciclo di vita	Lettura	lifecycleExecution*
GetLifecyclePolicy	Concede l'autorizzazione per visualizzare i dettagli della policy di un ciclo di vita	Lettura	lifecyclePolicy*
GetWorkflow	Concede l'autorizzazione per la visualizzazione dei dettagli di un flusso di lavoro	Lettura	workflow*		kms:Decrypt
GetWorkflowExecution	Concede l'autorizzazione per visualizzare i dettagli dell'esecuzione di un flusso di lavoro	Lettura	workflowExecution*
GetWorkflowStepExecution	Concede l'autorizzazione per visualizzare i dettagli dell'esecuzione di una fase del flusso di lavoro	Lettura	workflowStepExecution*
ImportComponent	Concede l'autorizzazione per importare un nuovo componente	Scrittura	component*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole imagebuilder:TagResource kms:Encrypt kms:GenerateDataKey kms:GenerateDataKeyWithoutPlaintext
ImportVmImage	Concede l'autorizzazione per importare un'immagine	Scrittura	imageVersion*	aws:RequestTag/${TagKey} aws:TagKeys	ec2:DescribeImages ec2:DescribeImportImageTasks iam:CreateServiceLinkedRole
ListComponentBuildVersions	Concede l'autorizzazione per elencare le versioni di build dei componenti nel tuo account	Elenco	componentVersion*
ListComponents	Concede l'autorizzazione per elencare le versioni dei componenti di proprietà o condivisi con il tuo account	Elenco
ListContainerRecipes	Concede l'autorizzazione per elencare le recipe del container di proprietà o condivise con il tuo account	Elenco
ListDistributionConfigurations	Concede l'autorizzazione per elencare le configurazioni di distribuzione nel tuo account	Elenco
ListImageBuildVersions	Concede l'autorizzazione per elencare le versioni di build dell'immagine nel tuo account	Elenco	imageVersion*
ListImagePackages	Concede l'autorizzazione per restituire un elenco di pacchetti installati nell'immagine specificata	Elenco	image*	aws:ResourceTag/${TagKey}
ListImagePipelineImages	Concede l'autorizzazione per restituire un elenco di immagini create dalla pipeline specificata	Elenco	imagePipeline*
ListImagePipelines	Concede l'autorizzazione per elencare le pipeline di immagini nel tuo account	Elenco
ListImageRecipes	Concede l'autorizzazione per elencare le recipe di immagine di proprietà o condivise con il tuo account	Elenco
ListImageScanFindingAggregations	Concede l'autorizzazione per elencare le aggregazioni dei risultati delle scansioni di immagini nel tuo account	Elenco	image
			imagePipeline
ListImageScanFindings	Concede l'autorizzazione per elencare i risultati delle scansioni di immagini nel tuo account	Elenco	image		inspector2:ListFindings
			imagePipeline
ListImages	Concede l'autorizzazione per elencare le versioni delle immagini di proprietà o condivise con il tuo account	Elenco
ListInfrastructureConfigurations	Concede l'autorizzazione per elencare le configurazioni dell'infrastruttura nel tuo account	Elenco
ListLifecycleExecutionResources	Concede l'autorizzazione per elencare le risorse per l'esecuzione del ciclo di vita specificato	Elenco	lifecycleExecution*
ListLifecycleExecutions	Concede l'autorizzazione per elencare le esecuzioni del ciclo di vita per la risorsa specificata	Elenco	image
			lifecyclePolicy
ListLifecyclePolicies	Concede l'autorizzazione per elencare le policy del ciclo di vita nell'account	Elenco
ListTagsForResource	Concede l'autorizzazione per elencare i tag per una risorsa di Image Builder	Lettura	component	aws:ResourceTag/${TagKey}
			containerRecipe	aws:ResourceTag/${TagKey}
			distributionConfiguration	aws:ResourceTag/${TagKey}
			image	aws:ResourceTag/${TagKey}
			imagePipeline	aws:ResourceTag/${TagKey}
			imageRecipe	aws:ResourceTag/${TagKey}
			infrastructureConfiguration	aws:ResourceTag/${TagKey}
			lifecyclePolicy	aws:ResourceTag/${TagKey}
			workflow	aws:ResourceTag/${TagKey}
ListWaitingWorkflowSteps	Concede l'autorizzazione per l’elencazione delle fasi di un flusso di lavoro in attesa per l'account chiamante	Elenco
ListWorkflowBuildVersions	Concede l'autorizzazione per l’elencazione delle versioni di build del flusso di lavoro nel tuo account	Elenco	workflowVersion*
ListWorkflowExecutions	Concede l'autorizzazione per elencare le esecuzioni dei flussi di lavoro per l'immagine specificata	Elenco	image*
ListWorkflowStepExecutions	Concede l'autorizzazione per elencare le esecuzioni delle fasi del flusso di lavoro per il flusso di lavoro specificato	Elenco	workflowExecution*
ListWorkflows	Concede l'autorizzazione per l’elencazione delle versioni del flusso di lavoro di proprietà o condivise con il tuo account	Elenco
PutComponentPolicy	Concede l'autorizzazione per impostare la policy della risorsa associata un componente	Gestione delle autorizzazioni	component*
PutContainerRecipePolicy	Concede l'autorizzazione per impostare la policy della risorsa associata a una recipe del container	Gestione delle autorizzazioni	containerRecipe*
PutImagePolicy	Concede l'autorizzazione per impostare a policy della risorsa associata a un'immagine	Gestione delle autorizzazioni	image*
PutImageRecipePolicy	Concede l'autorizzazione per impostare la policy della risorsa associata a una recipe di immagine	Gestione delle autorizzazioni	imageRecipe*
SendWorkflowStepAction	Concede l'autorizzazione per l’invio di un'azione a una fase del flusso di lavoro	Scrittura	image*
			workflowStepExecution*
StartImagePipelineExecution	Concede l'autorizzazione per creare una nuova immagine da una pipeline	Scrittura	imagePipeline*		iam:CreateServiceLinkedRole imagebuilder:GetImagePipeline
StartResourceStateUpdate	Concede l'autorizzazione per avviare un aggiornamento di stato per la risorsa specificata	Scrittura	image*
TagResource	Concede l'autorizzazione per applicare tag a una risorsa di Image Builder	Applicazione di tag	component	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			containerRecipe	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			distributionConfiguration	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			image	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			imagePipeline	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			imageRecipe	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			infrastructureConfiguration	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			lifecyclePolicy	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			workflow	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
UntagResource	Concede l'autorizzazione per rimuovere i tag da una risorsa di Image Builder	Applicazione di tag	component	aws:ResourceTag/${TagKey} aws:TagKeys
			containerRecipe	aws:ResourceTag/${TagKey} aws:TagKeys
			distributionConfiguration	aws:ResourceTag/${TagKey} aws:TagKeys
			image	aws:ResourceTag/${TagKey} aws:TagKeys
			imagePipeline	aws:ResourceTag/${TagKey} aws:TagKeys
			imageRecipe	aws:ResourceTag/${TagKey} aws:TagKeys
			infrastructureConfiguration	aws:ResourceTag/${TagKey} aws:TagKeys
			lifecyclePolicy	aws:ResourceTag/${TagKey} aws:TagKeys
			workflow	aws:ResourceTag/${TagKey} aws:TagKeys
UpdateDistributionConfiguration	Concede l'autorizzazione per aggiornare una configurazione di distribuzione esistente	Scrittura	distributionConfiguration*
UpdateImagePipeline	Concede l'autorizzazione per aggiornare una pipeline di immagini esistente	Scrittura	imagePipeline*		iam:CreateServiceLinkedRole iam:PassRole imagebuilder:GetContainerRecipe imagebuilder:GetDistributionConfiguration imagebuilder:GetImageRecipe imagebuilder:GetInfrastructureConfiguration imagebuilder:GetWorkflow
UpdateInfrastructureConfiguration	Concede l'autorizzazione per aggiornare una configurazione di infrastruttura esistente	Scrittura	infrastructureConfiguration*	aws:ResourceTag/${TagKey} imagebuilder:CreatedResourceTagKeys imagebuilder:CreatedResourceTag/<key> imagebuilder:Ec2MetadataHttpTokens imagebuilder:StatusTopicArn	iam:PassRole sns:Publish
UpdateLifecyclePolicy	Concede l'autorizzazione per aggiornare una policy del ciclo di vita esistente	Scrittura	lifecyclePolicy*	imagebuilder:LifecyclePolicyResourceType	iam:PassRole

Tipi di risorsa definiti da Amazon EC2 Image Builder

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM. Ogni operazione nella Tabella delle operazioni identifica i tipi di risorse che possono essere specificati con tale operazione. Un tipo di risorsa può anche definire quali chiavi di condizione puoi includere in una policy. Queste chiavi vengono visualizzate nell'ultima colonna della tabella Tipi di risorsa. Per dettagli sulle colonne nella tabella seguente, consulta Tabella dei tipi di risorsa.

Tipi di risorsa	ARN	Chiavi di condizione
component	arn:${Partition}:imagebuilder:${Region}:${Account}:component/${ComponentName}/${ComponentVersion}/${ComponentBuildVersion}	aws:ResourceTag/${TagKey}
componentVersion	arn:${Partition}:imagebuilder:${Region}:${Account}:component/${ComponentName}/${ComponentVersion}	aws:ResourceTag/${TagKey}
distributionConfiguration	arn:${Partition}:imagebuilder:${Region}:${Account}:distribution-configuration/${DistributionConfigurationName}	aws:ResourceTag/${TagKey}
image	arn:${Partition}:imagebuilder:${Region}:${Account}:image/${ImageName}/${ImageVersion}/${ImageBuildVersion}	aws:ResourceTag/${TagKey}
imageVersion	arn:${Partition}:imagebuilder:${Region}:${Account}:image/${ImageName}/${ImageVersion}	aws:ResourceTag/${TagKey}
imageRecipe	arn:${Partition}:imagebuilder:${Region}:${Account}:image-recipe/${ImageRecipeName}/${ImageRecipeVersion}	aws:ResourceTag/${TagKey}
containerRecipe	arn:${Partition}:imagebuilder:${Region}:${Account}:container-recipe/${ContainerRecipeName}/${ContainerRecipeVersion}	aws:ResourceTag/${TagKey}
imagePipeline	arn:${Partition}:imagebuilder:${Region}:${Account}:image-pipeline/${ImagePipelineName}	aws:ResourceTag/${TagKey}
infrastructureConfiguration	arn:${Partition}:imagebuilder:${Region}:${Account}:infrastructure-configuration/${ResourceId}	aws:ResourceTag/${TagKey}
kmsKey	arn:${Partition}:kms:${Region}:${Account}:key/${KeyId}
lifecycleExecution	arn:${Partition}:imagebuilder:${Region}:${Account}:lifecycle-execution/${LifecycleExecutionId}
lifecyclePolicy	arn:${Partition}:imagebuilder:${Region}:${Account}:lifecycle-policy/${LifecyclePolicyName}	aws:ResourceTag/${TagKey}
workflow	arn:${Partition}:imagebuilder:${Region}:${Account}:workflow/${WorkflowType}/${WorkflowName}/${WorkflowVersion}/${WorkflowBuildVersion}	aws:ResourceTag/${TagKey}
workflowVersion	arn:${Partition}:imagebuilder:${Region}:${Account}:workflow/${WorkflowType}/${WorkflowName}/${WorkflowVersion}	aws:ResourceTag/${TagKey}
workflowExecution	arn:${Partition}:imagebuilder:${Region}:${Account}:workflow-execution/${WorkflowExecutionId}
workflowStepExecution	arn:${Partition}:imagebuilder:${Region}:${Account}:workflow-step-execution/${WorkflowStepExecutionId}

Chiavi di condizione per Amazon EC2 Image Builder

Amazon EC2 Image Builder definisce le seguenti chiavi di condizione che possono essere utilizzate nell'elemento Condition di una policy IAM. Puoi utilizzare queste chiavi per perfezionare ulteriormente le condizioni in base alle quali si applica l'istruzione di policy. Per dettagli sulle colonne nella tabella seguente, consulta Tabella delle chiavi di condizione.

Per visualizzare le chiavi di condizione globali disponibili per tutti i servizi, consulta Chiavi di condizione globali disponibili.

Chiavi di condizione	Descrizione	Type
aws:RequestTag/${TagKey}	Filtra l'accesso in base alla presenza di coppie chiave-valore di tag nella richiesta	Stringa
aws:ResourceTag/${TagKey}	Filtra le operazioni in base alle coppie chiave-valore di tag collegate alla risorsa	Stringa
aws:TagKeys	Filtra l'accesso in base alla presenza di chiavi di tag nella richiesta	ArrayOfString
imagebuilder:CreatedResourceTag/<key>	Filtra l'accesso in base alle coppie chiave-valore tag associate alla risorsa creata da Image Builder	Stringa
imagebuilder:CreatedResourceTagKeys	Filtra l'accesso in base alla presenza di chiavi di tag nella richiesta	ArrayOfString
imagebuilder:Ec2MetadataHttpTokens	Filtra l'accesso in base al requisito del token HTTP dei metadati dell'istanza EC2 specificato nella richiesta	Stringa
imagebuilder:LifecyclePolicyResourceType	Filtra l'accesso in base al tipo di risorsa della policy del ciclo di vita specificato nella richiesta	Stringa
imagebuilder:StatusTopicArn	Filtra l'accesso in base all'ARN dell'argomento SNS nella richiesta in cui verranno pubblicate le notifiche sullo stato del terminale	ARN