Usar perfis do IAM vinculados ao serviço para o Image Builder

EC2 O Image Builder usa AWS Identity and Access Management funções vinculadas ao serviço (IAM). Um perfil vinculado ao serviço é um tipo exclusivo de perfil do IAM que é vinculado diretamente ao Image Builder. As funções vinculadas ao serviço são predefinidas pelo Image Builder e incluem todas as permissões que o serviço exige para ligar para outras pessoas Serviços da AWS em seu nome.

Um perfil vinculado ao serviço torna a configuração do Image Builder mais eficiente, porque você não precisa adicionar as permissões necessárias manualmente. O Image Builder define as permissões de seus perfis vinculados ao serviço e, exceto se definido de outra forma, somente o Image Builder pode assumir seus perfis. As permissões definidas incluem a política de confiança e a política de permissões. A política de permissões não pode ser anexada a nenhuma outra entidade do IAM.

Para obter informações sobre outros serviços que são compatíveis com os perfis vinculados ao serviço, consulte Serviços da AWS Compatíveis com o IAM e procure os serviços que contêm Sim na coluna Perfil vinculado ao serviço. Escolha um Sim com um link para visualizar a documentação do perfil vinculado para esse serviço.

Permissões de perfil vinculado ao serviço para o Image Builder

O Image Builder usa o AWSServiceRoleForImageBuilderfunção vinculada ao serviço para permitir que o EC2 Image Builder acesse AWS recursos em seu nome. O perfil vinculado ao serviço confia no serviço imagebuilder.amazonaws.com para assumir o perfil.

Você não precisa criar manualmente esse perfil vinculado ao serviço. Quando você cria sua primeira imagem do Image Builder no AWS Management Console, ou na AWS API AWS CLI, o Image Builder cria a função vinculada ao serviço para você.

As ações a seguir criam uma nova imagem:

• Execute o assistente de pipeline no console do Image Builder para criar uma imagem personalizada.

• Use uma das ações de API a seguir ou o AWS CLI comando correspondente:

  • A ação CreateImage da API (create-imageno AWS CLI).

  • A ação ImportVmImage da API (import-vm-imageno AWS CLI).

  • A ação StartImagePipelineExecution da API (start-image-pipeline-executionno AWS CLI).

Importante

Se o perfil vinculado ao serviço for excluído da sua conta, você poderá usar o mesmo processo para criá-lo novamente. Quando você cria seu primeiro recurso do EC2 Image Builder, o Image Builder cria a função vinculada ao serviço para você novamente.

Para ver as permissões do AWSServiceRoleForImageBuilder, veja a AWSServiceRoleForImageBuilder política página. Para saber mais sobre como configurar permissões para um perfil vinculado ao serviço, consulte Permissões do perfil vinculado ao serviço no Guia do usuário do IAM.

Remover um perfil vinculado ao serviço do Image Builder da sua conta

Você pode usar o console do IAM AWS CLI, o ou a AWS API para remover manualmente a função vinculada ao serviço do Image Builder da sua conta. No entanto, antes de fazer isso, você deve garantir que não haja recursos habilitados do Image Builder que se refiram a ele.

nota

Se o serviço do Image Builder estiver usando o perfil quando você tenta excluir os recursos, a exclusão poderá falhar. Se isso acontecer, espere alguns minutos e tente a operação novamente.

Limpe os recursos do Image Builder usados pelo perfil AWSServiceRoleForImageBuilder

1. Verifique se não há compilações de pipeline em execução antes de começar. Para cancelar uma compilação em execução, use o comando cancel-image-creation do AWS CLI.

   aws imagebuilder cancel-image-creation --image-build-version-arn arn:aws:imagebuilder:us-east-1:123456789012:image-pipeline/sample-pipeline

2. Altere todas as programações do pipeline para usar um processo de compilação manual ou as exclua se você não quiser usá-las novamente. Para obter mais informações sobre exclusão de recursos, consulte Excluir recursos desatualizados ou não utilizados do Image Builder.

Excluir o perfil vinculado a serviço usando o IAM

Você pode usar o console do IAM AWS CLI, o ou a AWS API para excluir a AWSServiceRoleForImageBuilder função da sua conta. Para obter mais informações, consulte Excluir uma função vinculada ao serviço no Guia do usuário do IAM.

Regiões compatíveis com os perfis vinculados ao serviço do Image Builder

O Image Builder oferece suporte ao uso de funções vinculadas ao serviço em todas as AWS regiões em que o serviço está disponível. Para ver a lista de AWS regiões suportadas, consulteAWS Regiões e endpoints.