EC2 Image Builder 和 AWS PrivateLink 介面 VPC 端點

您可以透過建立介面 VPC 端點，在 VPC 和 EC2 Image Builder 之間建立私有連線。介面端點採用這項技術 AWS PrivateLink，可讓您在沒有網際網路閘道、NAT 裝置、VPN 連線或 AWS Direct Connect 連線的情況下私密存取 Image Builder API。VPC 中的執行個體不需要公用 IP 位址即可與 Image Builder API 進行通訊。您的 VPC 和 Image Builder 之間的流量不會離開 Amazon 網路。

每個介面端點都是由您子網路中的一或多個彈性網路介面表示。建立新映像時，您可以在基礎結構組態中指定 VPC 子網路識別碼。

注意

您從 VPC 中存取的每個服務都有自己的介面端點，並具有自己的端點策略。Image Builder 會下載 AWS TOE 元件管理員應用程式，並從 S3 儲存貯體存取受管資源以建立自訂映像。若要授與這些儲存貯體的存取權，您必須更新 S3 端點政策以允許它。如需詳細資訊，請參閱 S3 儲存貯體存取的自訂政策。

如需 VPC 端點的詳細資訊，請參閱《Amazon VPC 使用者指南》中的介面 VPC 端點 (AWS PrivateLink)。

Image Builder VPC 端點的考量

在為 Image Builder 設定介面 VPC 端點之前，請務必先檢閱 Amazon VPC 使用者指南中的介面端點屬性和限制。

Image Builder 支援從您的 VPC 呼叫其所有 API 動作。

為 Image Builder 建立介面 VPC 端點

若要為 Image Builder 服務建立 VPC 端點，您可以使用 Amazon VPC 主控台或 AWS Command Line Interface ()AWS CLI。如需詳細資訊，請參閱《Amazon VPC 使用者指南》中的建立介面端點。

使用下列服務名稱為 Image Builder 建立 VPC 端點：

• com.amazonaws.region.imagebuilder

如果您為端點啟用私有 DNS，則可以使用 Image Builder 的區域預設 DNS 名稱向映像產生器發出 API 要求，例如：imagebuilder.us-east-1.amazonaws.com。若要查詢適用於目標區域 EC2 Image Builder 端點，請參閱 Amazon Web Services 一般參考.

如需詳細資訊，請參閱《Amazon VPC 使用者指南》中的透過介面端點存取服務。

為 Image Builder 建立 VPC 端點原則

您可以將端點策略附加到 VPC 端點，以控制對 Image Builder 的存取。此政策會指定下列資訊：

• 可執行動作的主體。

• 可執行的動作。

• 可供執行動作的資源。

如果您在方案中使用 Amazon 管理的元件，Image Builder 的 VPC 端點必須允許存取下列服務擁有的元件程式庫：

arn:aws:imagebuilder:region:aws:component/*

重要

將非預設政策套用至 EC2 Image Builder 的介面 VPC 端點時，某些失敗的 API 請求 (例如失敗者) 可能不會記錄到 AWS CloudTrail 或 Amazon。RequestLimitExceeded CloudWatch

如需詳細資訊，請參閱《Amazon VPC 使用者指南》中的使用 VPC 端點控制對服務的存取。

S3 儲存貯體存取的自訂政策

Image Builder 使用公開可用的 S3 儲存貯體來存放和存取受管資源，例如元件。它也會從個別的 S3 儲存貯體下載 AWS TOE 元件管理應用程式。如果您在環境中使用適用於 Amazon S3 的 VPC 端點，則需要確保 S3 VPC 端點政策允許 Image Builder 存取以下 S3 儲存貯體。值區名稱在每個 AWS 區域（地區）和應用程序環境（環境）都是唯一的。Image Builder 並 AWS TOE 支援下列應用程式環境：prodpreprod、和beta。

• AWS TOE 元件管理員值區：

  s3://ec2imagebuilder-toe-region-environment

  例如：s3://ec2 imagebuilder-toe-us-west -2-品質 /*

• Image Builder 管理的資源值區：

  s3://ec2imagebuilder-managed-resources-region-environment/components

  例如：s3://ec2 imagebuilder-managed-resources-us-西 2-產品/組件 /*

VPC 端點政策範例

本節包括自訂 VPC 端點原則的範例。

Image Builder 動作的一般 VPC 端點原則

以下 Image Builder 的範例端點策略拒絕刪除 Image Builder 和元件的權限。範例政策也授予執行所有其他 EC2 Image Builder 動作的權限。

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Action": "imagebuilder:*",
        "Effect": "Allow",
        "Resource": "*"
    },
    {
        "Action": [
            "imagebuilder: DeleteImage"
        ],
        "Effect": "Deny",
        "Resource": "*",
    },
    {
        "Action": [
            "imagebuilder: DeleteComponent"
        ],
        "Effect": "Deny",
        "Resource": "*",
    }]
}

依組織限制存取，允許受管理元件存取

下列範例端點原則示範如何限制存取屬於您組織的身分識別和資源，並提供對 Amazon-Managed 元 AWS TOE 件的存取權。resource-org-id以您組織的值取代區域principal-org-id、和。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToEC2ImageBuilderComponents",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "imagebuilder:GetComponent"
      ],
      "Resource": [
        "arn:aws:imagebuilder:region:aws:component/*"
      ]
    }
  ]
}

Amazon S3 儲存貯體存取的 VPC 端點政策

下列 S3 端點政策範例顯示如何提供對映像產生器用來建立自訂映像之 S3 儲存貯體的存取權。以組織的價值取代區域和環境。根據您的應用程式需求，將任何其他必要權限新增至原則。

注意

對於 Linux 映像檔，如果您未在映像配方中指定使用者資料，映 Image Builder 會新增指令碼，以便在映像檔的組建和測試執行個體上下載並安裝 Systems Manager 代理程式。若要下載代理程式，Image Builder 會存取您組建區域的 S3 儲存貯體。

若要確保 Image Builder 可以啟動建置和測試執行個體，請將下列其他資源新增至 S3 端點政策：

"arn:aws:s3:::amazon-ssm-region/*"

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowImageBuilderAccessToAppAndComponentBuckets",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::ec2imagebuilder-toe-region-environment/*",
        "arn:aws:s3:::ec2imagebuilder-managed-resources-region-environment/components/*"
      ]
    }
  ]
}