Ações, recursos e chaves de condição do Amazon EC2 Image Builder

O Amazon EC2 Image Builder (prefixo do serviço: imagebuilder) fornece os recursos, ações e chaves de contexto de condição específicos ao serviço a seguir para uso em políticas de permissão do IAM.

Referências:

• Saiba como configurar este serviço.

• Visualize uma lista das operações de API disponíveis para este serviço.

• Saiba como proteger este serviço e seus recursos usando políticas de permissão do IAM.

Ações definidas pelo Amazon EC2 Image Builder

Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma instrução com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o elemento Resource em uma política do IAM, deverá incluir um ARN ou padrão para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
CancelImageCreation	Concede permissão para cancelar a criação de uma imagem	Escrever	image*
CancelLifecycleExecution	Concede permissão para cancelar a execução de um ciclo de vida	Escrever	lifecycleExecution*
CreateComponent	Concede permissão para criar um novo componente	Write	component*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole imagebuilder:TagResource kms:Encrypt kms:GenerateDataKey kms:GenerateDataKeyWithoutPlaintext
CreateContainerRecipe	Concede permissão para criar uma nova receita de contêiner	Write	containerRecipe*	aws:RequestTag/${TagKey} aws:TagKeys	ecr:DescribeImages ecr:DescribeRepositories iam:CreateServiceLinkedRole imagebuilder:GetComponent imagebuilder:GetImage imagebuilder:TagResource kms:Encrypt kms:GenerateDataKey kms:GenerateDataKeyWithoutPlaintext
CreateDistributionConfiguration	Concede permissão para criar uma nova configuração de distribuição	Write	distributionConfiguration*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole imagebuilder:TagResource
CreateImage	Concede permissão para criar uma nova imagem	Write	image*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole iam:PassRole imagebuilder:GetContainerRecipe imagebuilder:GetDistributionConfiguration imagebuilder:GetImageRecipe imagebuilder:GetInfrastructureConfiguration imagebuilder:GetWorkflow imagebuilder:TagResource
CreateImagePipeline	Concede permissão para criar um novo pipeline de imagem	Write	imagePipeline*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole iam:PassRole imagebuilder:GetContainerRecipe imagebuilder:GetDistributionConfiguration imagebuilder:GetImageRecipe imagebuilder:GetInfrastructureConfiguration imagebuilder:GetWorkflow imagebuilder:TagResource
CreateImageRecipe	Concede permissão para criar uma nova receita de imagem	Write	imageRecipe*	aws:RequestTag/${TagKey} aws:TagKeys	ec2:DescribeImages iam:CreateServiceLinkedRole imagebuilder:GetComponent imagebuilder:GetImage imagebuilder:TagResource
CreateInfrastructureConfiguration	Concede permissão para criar uma nova configuração de infraestrutura	Escrever	infrastructureConfiguration*	aws:RequestTag/${TagKey} aws:TagKeys imagebuilder:CreatedResourceTagKeys imagebuilder:CreatedResourceTag/<key> imagebuilder:Ec2MetadataHttpTokens imagebuilder:StatusTopicArn	iam:CreateServiceLinkedRole iam:PassRole imagebuilder:TagResource sns:Publish
CreateLifecyclePolicy	Concede permissão para criar uma nova política de ciclo de vida	Escrever	lifecyclePolicy*	aws:RequestTag/${TagKey} aws:TagKeys imagebuilder:LifecyclePolicyResourceType	iam:PassRole imagebuilder:TagResource
CreateWorkflow	Concede permissão para criar um novo fluxo de trabalho	Escrever	workflow*	aws:RequestTag/${TagKey} aws:TagKeys	imagebuilder:TagResource kms:Encrypt kms:GenerateDataKey kms:GenerateDataKeyWithoutPlaintext s3:GetObject s3:ListBucket
DeleteComponent	Concede permissão para excluir um componente	Write	component*
DeleteContainerRecipe	Concede permissão para excluir uma receita de contêiner	Write	containerRecipe*
DeleteDistributionConfiguration	Concede permissão para excluir a configuração de distribuição	Write	distributionConfiguration*
DeleteImage	Concede permissão para excluir uma imagem	Write	image*
DeleteImagePipeline	Concede permissão para excluir um pipeline de imagem	Write	imagePipeline*
DeleteImageRecipe	Concede permissão para excluir uma receita de imagem	Write	imageRecipe*
DeleteInfrastructureConfiguration	Concede permissão para excluir uma configuração de infraestrutura	Escrever	infrastructureConfiguration*
DeleteLifecyclePolicy	Concede permissão para excluir uma política de ciclo de vida	Escrever	lifecyclePolicy*
DeleteWorkflow	Concede permissão para excluir um fluxo de trabalho	Escrever	workflow*
GetComponent	Concede permissão para visualizar detalhes sobre um componente	Read	component*		kms:Decrypt
GetComponentPolicy	Concede permissão para visualizar a política de recursos associada a um componente	Read	component*
GetContainerRecipe	Concede permissão para visualizar detalhes sobre uma receita de contêiner	Read	containerRecipe*
GetContainerRecipePolicy	Concede permissão para visualizar a política de recursos associada a uma receita de contêiner	Read	containerRecipe*
GetDistributionConfiguration	Concede permissão para visualizar detalhes sobre uma configuração de distribuição	Read	distributionConfiguration*
GetImage	Concede permissão para visualizar detalhes sobre uma imagem	Read	image*	aws:ResourceTag/${TagKey}
GetImagePipeline	Concede permissão para visualizar detalhes sobre um pipeline de imagem	Read	imagePipeline*
GetImagePolicy	Concede permissão para visualizar a política de recursos associada a uma imagem	Read	image*
GetImageRecipe	Concede permissão para visualizar detalhes sobre uma receita de imagem	Read	imageRecipe*
GetImageRecipePolicy	Concede permissão para visualizar a política de recursos associada a uma receita de imagem	Read	imageRecipe*
GetInfrastructureConfiguration	Concede permissão para visualizar detalhes sobre uma configuração de infraestrutura	Leitura	infrastructureConfiguration*
GetLifecycleExecution	Concede permissão para visualizar detalhes sobre uma execução de ciclo de vida	Leitura	lifecycleExecution*
GetLifecyclePolicy	Concede permissão para visualizar detalhes sobre uma política de ciclo de vida	Leitura	lifecyclePolicy*
GetWorkflow	Concede permissão para visualizar detalhes sobre um fluxo de trabalho	Leitura	workflow*		kms:Decrypt
GetWorkflowExecution	Concede permissão para visualizar detalhes sobre a execução de um fluxo de trabalho	Leitura	workflowExecution*
GetWorkflowStepExecution	Concede permissão para visualizar detalhes sobre a execução de uma etapa de fluxo de trabalho	Leitura	workflowStepExecution*
ImportComponent	Concede permissão para importar um novo componente	Escrever	component*	aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole imagebuilder:TagResource kms:Encrypt kms:GenerateDataKey kms:GenerateDataKeyWithoutPlaintext
ImportVmImage	Concede permissão para importar uma imagem	Escrever	imageVersion*	aws:RequestTag/${TagKey} aws:TagKeys	ec2:DescribeImages ec2:DescribeImportImageTasks iam:CreateServiceLinkedRole
ListComponentBuildVersions	Concede permissão para listar as versões de compilação de componentes em sua conta	List	componentVersion*
ListComponents	Concede permissão para listar as versões de componentes pertencentes à sua conta ou compartilhadas com ela	List
ListContainerRecipes	Concede permissão para listar as receitas de contêiner pertencentes à sua conta ou compartilhadas com ela	List
ListDistributionConfigurations	Concede permissão para listar as configurações de distribuição em sua conta	List
ListImageBuildVersions	Concede permissão para listar as versões de compilação de imagem em sua conta	Lista	imageVersion*
ListImagePackages	Concede permissão para retornar uma lista de pacotes instalados na imagem especificada	Lista	image*	aws:ResourceTag/${TagKey}
ListImagePipelineImages	Concede permissão para retornar uma lista de imagens criadas pelo pipeline especificado	Lista	imagePipeline*
ListImagePipelines	Concede permissão para listar os pipelines de imagem em sua conta	List
ListImageRecipes	Concede permissão para listar as receitas de imagem pertencentes à sua conta ou compartilhadas com ela	Lista
ListImageScanFindingAggregations	Concede permissão para listar as agregações às descobertas da verificação de imagem em sua conta	Lista	image
			imagePipeline
ListImageScanFindings	Concede permissão para listar as descobertas da verificação de imagem das imagens em sua conta	Lista	image		inspector2:ListFindings
			imagePipeline
ListImages	Concede permissão para listar as versões de imagem pertencentes à sua conta ou compartilhadas com ela	List
ListInfrastructureConfigurations	Concede permissão para listar as configurações de infraestrutura em sua conta	Lista
ListLifecycleExecutionResources	Concede permissão para listar recursos para a execução de ciclo de vida especificada	Lista	lifecycleExecution*
ListLifecycleExecutions	Concede permissão para listar execuções de ciclos de vida para o recurso especificado	Lista	image
			lifecyclePolicy
ListLifecyclePolicies	Concede permissão para listar as políticas de ciclo de vida na sua conta	Lista
ListTagsForResource	Concede permissão para listar etiquetas de um recurso do Image Builder	Leitura	component	aws:ResourceTag/${TagKey}
			containerRecipe	aws:ResourceTag/${TagKey}
			distributionConfiguration	aws:ResourceTag/${TagKey}
			image	aws:ResourceTag/${TagKey}
			imagePipeline	aws:ResourceTag/${TagKey}
			imageRecipe	aws:ResourceTag/${TagKey}
			infrastructureConfiguration	aws:ResourceTag/${TagKey}
			lifecyclePolicy	aws:ResourceTag/${TagKey}
			workflow	aws:ResourceTag/${TagKey}
ListWaitingWorkflowSteps	Concede permissão para listar as etapas do fluxo de trabalho em espera para a conta do chamador	Lista
ListWorkflowBuildVersions	Concede permissão para listar as versões de compilação de fluxo de trabalho em sua conta	Lista	workflowVersion*
ListWorkflowExecutions	Concede permissão para listar as execuções de fluxo de trabalho da imagem especificada	Lista	image*
ListWorkflowStepExecutions	Concede permissão para listar as execuções de etapas de fluxo de trabalho do fluxo de trabalho especificado	Lista	workflowExecution*
ListWorkflows	Concede permissão para listar as versões de fluxo de trabalho pertencentes à sua conta ou compartilhadas com ela	Lista
PutComponentPolicy	Concede permissão para definir a política de recursos associada a um componente	Permissions management	component*
PutContainerRecipePolicy	Concede permissão para definir a política de recursos associada a uma receita de contêiner	Permissions management	containerRecipe*
PutImagePolicy	Concede permissão para definir a política de recursos associada a uma imagem	Permissions management	image*
PutImageRecipePolicy	Concede permissão para definir a política de recursos associada a uma receita de imagem	Gerenciamento de permissões	imageRecipe*
SendWorkflowStepAction	Concede permissão para enviar uma ação para uma etapa do fluxo de trabalho	Escrever	image*
			workflowStepExecution*
StartImagePipelineExecution	Concede permissão para criar uma nova imagem a partir de um pipeline	Escrever	imagePipeline*		iam:CreateServiceLinkedRole imagebuilder:GetImagePipeline
StartResourceStateUpdate	Concede permissão para iniciar uma atualização de estado para o recurso especificado	Escrever	image*
TagResource	Concede permissão para marcar um recurso do Image Builder	Marcação	component	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			containerRecipe	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			distributionConfiguration	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			image	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			imagePipeline	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			imageRecipe	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			infrastructureConfiguration	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			lifecyclePolicy	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
			workflow	aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
UntagResource	Concede permissão para desmarcar um recurso do Image Builder	Marcação	component	aws:ResourceTag/${TagKey} aws:TagKeys
			containerRecipe	aws:ResourceTag/${TagKey} aws:TagKeys
			distributionConfiguration	aws:ResourceTag/${TagKey} aws:TagKeys
			image	aws:ResourceTag/${TagKey} aws:TagKeys
			imagePipeline	aws:ResourceTag/${TagKey} aws:TagKeys
			imageRecipe	aws:ResourceTag/${TagKey} aws:TagKeys
			infrastructureConfiguration	aws:ResourceTag/${TagKey} aws:TagKeys
			lifecyclePolicy	aws:ResourceTag/${TagKey} aws:TagKeys
			workflow	aws:ResourceTag/${TagKey} aws:TagKeys
UpdateDistributionConfiguration	Concede permissão para atualizar a configuração de distribuição existente	Write	distributionConfiguration*
UpdateImagePipeline	Concede permissão para atualizar um pipeline de imagem existente	Write	imagePipeline*		iam:CreateServiceLinkedRole iam:PassRole imagebuilder:GetContainerRecipe imagebuilder:GetDistributionConfiguration imagebuilder:GetImageRecipe imagebuilder:GetInfrastructureConfiguration imagebuilder:GetWorkflow
UpdateInfrastructureConfiguration	Concede permissão para atualizar uma configuração de infraestrutura existente	Escrever	infrastructureConfiguration*	aws:ResourceTag/${TagKey} imagebuilder:CreatedResourceTagKeys imagebuilder:CreatedResourceTag/<key> imagebuilder:Ec2MetadataHttpTokens imagebuilder:StatusTopicArn	iam:PassRole sns:Publish
UpdateLifecyclePolicy	Concede permissão para atualizar uma política de ciclo de vida existente	Escrever	lifecyclePolicy*	imagebuilder:LifecyclePolicyResourceType	iam:PassRole

Tipos de recursos definidos pelo Amazon EC2 Image Builder

Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
component	arn:${Partition}:imagebuilder:${Region}:${Account}:component/${ComponentName}/${ComponentVersion}/${ComponentBuildVersion}	aws:ResourceTag/${TagKey}
componentVersion	arn:${Partition}:imagebuilder:${Region}:${Account}:component/${ComponentName}/${ComponentVersion}	aws:ResourceTag/${TagKey}
distributionConfiguration	arn:${Partition}:imagebuilder:${Region}:${Account}:distribution-configuration/${DistributionConfigurationName}	aws:ResourceTag/${TagKey}
image	arn:${Partition}:imagebuilder:${Region}:${Account}:image/${ImageName}/${ImageVersion}/${ImageBuildVersion}	aws:ResourceTag/${TagKey}
imageVersion	arn:${Partition}:imagebuilder:${Region}:${Account}:image/${ImageName}/${ImageVersion}	aws:ResourceTag/${TagKey}
imageRecipe	arn:${Partition}:imagebuilder:${Region}:${Account}:image-recipe/${ImageRecipeName}/${ImageRecipeVersion}	aws:ResourceTag/${TagKey}
containerRecipe	arn:${Partition}:imagebuilder:${Region}:${Account}:container-recipe/${ContainerRecipeName}/${ContainerRecipeVersion}	aws:ResourceTag/${TagKey}
imagePipeline	arn:${Partition}:imagebuilder:${Region}:${Account}:image-pipeline/${ImagePipelineName}	aws:ResourceTag/${TagKey}
infrastructureConfiguration	arn:${Partition}:imagebuilder:${Region}:${Account}:infrastructure-configuration/${ResourceId}	aws:ResourceTag/${TagKey}
kmsKey	arn:${Partition}:kms:${Region}:${Account}:key/${KeyId}
lifecycleExecution	arn:${Partition}:imagebuilder:${Region}:${Account}:lifecycle-execution/${LifecycleExecutionId}
lifecyclePolicy	arn:${Partition}:imagebuilder:${Region}:${Account}:lifecycle-policy/${LifecyclePolicyName}	aws:ResourceTag/${TagKey}
workflow	arn:${Partition}:imagebuilder:${Region}:${Account}:workflow/${WorkflowType}/${WorkflowName}/${WorkflowVersion}/${WorkflowBuildVersion}	aws:ResourceTag/${TagKey}
workflowVersion	arn:${Partition}:imagebuilder:${Region}:${Account}:workflow/${WorkflowType}/${WorkflowName}/${WorkflowVersion}	aws:ResourceTag/${TagKey}
workflowExecution	arn:${Partition}:imagebuilder:${Region}:${Account}:workflow-execution/${WorkflowExecutionId}
workflowStepExecution	arn:${Partition}:imagebuilder:${Region}:${Account}:workflow-step-execution/${WorkflowStepExecutionId}

Chaves de condição do Amazon EC2 Image Builder

O Amazon EC2 Image Builder define as chaves de condição a seguir que podem ser usadas no elemento Condition de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para visualizar as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra acesso pela presença de pares de chave-valor da etiqueta na solicitação	String
aws:ResourceTag/${TagKey}	Filtra o acesso por pares chave-valor da etiqueta anexados ao recurso	String
aws:TagKeys	Filtra ações pela presença de chaves da etiqueta na solicitação	ArrayOfString
imagebuilder:CreatedResourceTag/<key>	Filtra o acesso pelos pares de chave-valor da etiqueta anexados ao recurso criado pelo Image Builder	String
imagebuilder:CreatedResourceTagKeys	Filtra ações pela presença de chaves da etiqueta na solicitação	ArrayOfString
imagebuilder:Ec2MetadataHttpTokens	Filtra o acesso pelo Requisito de token HTTP de metadados de instâncias do EC2 especificado na solicitação	String
imagebuilder:LifecyclePolicyResourceType	Filtra o acesso pelo tipo de recurso de política de ciclo de vida especificado na solicitação	String
imagebuilder:StatusTopicArn	Filtra o acesso pelo ARN do tópico do SNS na solicitação na qual as notificações de estado do terminal serão publicadas	ARN