Use funções IAM vinculadas ao serviço para o Image Builder

EC2O Image Builder usa AWS Identity and Access Management (IAM) funções vinculadas ao serviço. Uma função vinculada ao serviço é um tipo exclusivo de IAM função vinculada diretamente ao Image Builder. As funções vinculadas ao serviço são predefinidas pelo Image Builder e incluem todas as permissões que o serviço exige para ligar para outras pessoas Serviços da AWS em seu nome.

Um perfil vinculado ao serviço torna a configuração do Image Builder mais eficiente, porque você não precisa adicionar as permissões necessárias manualmente. O Image Builder define as permissões de seus perfis vinculados ao serviço e, exceto se definido de outra forma, somente o Image Builder pode assumir seus perfis. As permissões definidas incluem a política de confiança e a política de permissões. A política de permissões não pode ser anexada a nenhuma outra IAM entidade.

Para obter informações sobre outros serviços que oferecem suporte a funções vinculadas a serviços, consulte Serviços da AWS That Work with IAM e procure os serviços que têm Sim na coluna Função vinculada ao serviço. Escolha um Sim com um link para visualizar a documentação da função vinculada a esse serviço.

Permissões de perfil vinculado ao serviço para o Image Builder

O Image Builder usa o AWSServiceRoleForImageBuilderfunção vinculada ao serviço para permitir que o EC2 Image Builder acesse AWS recursos em seu nome. O perfil vinculado ao serviço confia no serviço imagebuilder.amazonaws.com para assumir o perfil.

Você não precisa criar manualmente esse perfil vinculado ao serviço. Quando você cria sua primeira imagem do Image Builder no AWS Management Console, o AWS CLI, ou o AWS API, Image Builder cria a função vinculada ao serviço para você.

As ações a seguir criam uma nova imagem:

• Execute o assistente de pipeline no console do Image Builder para criar uma imagem personalizada.

• Use uma das API ações a seguir ou o AWS CLI comando correspondente:

  • A CreateImage API ação (create-imageno AWS CLI).

  • A ImportVmImage API ação (import-vm-imageno AWS CLI).

  • A StartImagePipelineExecution API ação (start-image-pipeline-executionno AWS CLI).

Importante

Se o perfil vinculado ao serviço for excluído da sua conta, você poderá usar o mesmo processo para criá-lo novamente. Quando você cria seu primeiro recurso do EC2 Image Builder, o Image Builder cria a função vinculada ao serviço para você novamente.

Para ver as permissões do AWSServiceRoleForImageBuilder, veja a AWSServiceRoleForImageBuilder política página. Para saber mais sobre como configurar permissões para uma função vinculada ao serviço, consulte Permissões da função vinculada ao serviço no Guia do usuário. IAM

Remover um perfil vinculado ao serviço do Image Builder da sua conta

Você pode usar o IAM console AWS CLI, o ou o para remover manualmente AWS API a função vinculada ao serviço do Image Builder da sua conta. No entanto, antes de fazer isso, você deve garantir que não haja recursos habilitados do Image Builder que se refiram a ele.

nota

Se o serviço do Image Builder estiver usando o perfil quando você tenta excluir os recursos, a exclusão poderá falhar. Se isso acontecer, espere alguns minutos e tente a operação novamente.

Limpe os recursos do Image Builder usados pelo perfil AWSServiceRoleForImageBuilder

1. Verifique se não há compilações de pipeline em execução antes de começar. Para cancelar uma compilação em execução, use o comando cancel-image-creation do AWS CLI.

   aws imagebuilder cancel-image-creation --image-build-version-arn arn:aws:imagebuilder:us-east-1:123456789012:image-pipeline/sample-pipeline

2. Altere todas as programações do pipeline para usar um processo de compilação manual ou as exclua se você não quiser usá-las novamente. Para obter mais informações sobre exclusão de recursos, consulte Exclua recursos desatualizados ou não utilizados do Image Builder.

Exclua a função vinculada ao serviço usando IAM

Você pode usar o IAM console AWS CLI, o ou o AWS API para excluir a AWSServiceRoleForImageBuilder função da sua conta. Para obter mais informações, consulte Excluindo uma função vinculada ao serviço no Guia do IAM usuário.

Regiões suportadas para funções vinculadas ao serviço do Image Builder

O Image Builder oferece suporte ao uso de funções vinculadas ao serviço em todas as AWS regiões em que o serviço está disponível. Para ver a lista de AWS regiões suportadas, consulteAWS Regiões e endpoints.