Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Image Builder und AWS PrivateLink Schnittstelle VPC-Endpunkte

Sie können eine private Verbindung zwischen Ihrer VPC und EC2 Image Builder herstellen, indem Sie einen Schnittstellen-VPC-Endpunkt erstellen. Schnittstellenendpunkte werden von einer Technologie unterstützt AWS PrivateLink, die es Ihnen ermöglicht, privat auf Image Builder-APIs zuzugreifen, ohne dass ein Internet-Gateway, ein NAT-Gerät, eine VPN-Verbindung oder eine Verbindung erforderlich ist. Direct Connect Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um mit Image Builder-APIs zu kommunizieren. Der Verkehr zwischen Ihrer VPC und Image Builder verlässt das Amazon-Netzwerk nicht.

Jeder Schnittstellenendpunkt wird durch eine oder mehrere Elastic-Network-Schnittstellen in Ihren Subnetzen dargestellt. Wenn Sie ein neues Image erstellen, können Sie die VPC-Subnetz-ID in Ihrer Infrastrukturkonfiguration angeben.

Weitere Informationen zu VPC-Endpunkten finden Sie unter Schnittstellen-VPC-Endpunkte (AWS PrivateLink) im Amazon VPC Benutzerhandbuch.

Überlegungen zu Image Builder VPC-Endpunkten

Bevor Sie einen Schnittstellen-VPC-Endpunkt für Image Builder einrichten, sollten Sie sich die Eigenschaften und Einschränkungen von Interface-Endpunkten im Amazon VPC-Benutzerhandbuch ansehen.

Image Builder unterstützt das Aufrufen all seiner API-Aktionen von Ihrer VPC aus.

Erstellen Sie einen VPC-Schnittstellen-Endpunkt für Image Builder

Um einen VPC-Endpunkt für den Image Builder-Service zu erstellen, können Sie entweder die Amazon VPC-Konsole oder die AWS Command Line Interface () verwenden.AWS CLI Weitere Informationen finden Sie unter Erstellung eines Schnittstellenendpunkts im Benutzerhandbuch für Amazon VPC.

Erstellen Sie einen VPC-Endpunkt für Image Builder mit dem folgenden Servicenamen:

Wenn Sie privates DNS für den Endpunkt aktivieren, können Sie API-Anfragen an Image Builder stellen, indem Sie den Standard-DNS-Namen für die Region verwenden, zum Beispiel:. imagebuilder.us-east-1.amazonaws.com Informationen zum Endpunkt, der für Ihre Zielregion gilt, finden Sie unter EC2 Image Builder-Endpunkte und -Kontingente im. Allgemeine Amazon Web Services-Referenz

Weitere Informationen finden Sie unter Zugriff auf einen Service über einen Schnittstellenendpunkt im Benutzerhandbuch für Amazon VPC.

Erstellen Sie eine VPC-Endpunktrichtlinie für Image Builder

Sie können Ihrem VPC-Endpunkt eine Endpunktrichtlinie anhängen, die den Zugriff auf Image Builder steuert. Die Richtlinie gibt die folgenden Informationen an:

Wenn Sie Amazon-managed Komponenten in Ihrem Rezept verwenden, muss der VPC-Endpunkt für Image Builder den Zugriff auf die folgende, dem Dienst eigene Komponentenbibliothek ermöglichen:

arn:aws:imagebuilder:region:aws:component/*

Weitere Informationen finden Sie unter Steuerung des Zugriffs auf Services mit VPC-Endpunkten im Amazon-VPC-Benutzerhandbuch.

Benutzerdefinierte Richtlinien für den Zugriff auf S3-Buckets

Image Builder verwendet einen öffentlich verfügbaren S3-Bucket, um verwaltete Ressourcen wie Komponenten zu speichern und darauf zuzugreifen. Außerdem wird die AWSTOE Komponentenverwaltungsanwendung aus einem separaten S3-Bucket heruntergeladen. Wenn Sie in Ihrer Umgebung einen VPC-Endpunkt für Amazon S3 verwenden, müssen Sie sicherstellen, dass Ihre S3-VPC-Endpunktrichtlinie Image Builder den Zugriff auf die folgenden S3-Buckets ermöglicht. Die Bucket-Namen sind pro AWS Region (region) und Anwendungsumgebung () eindeutig. environment Image Builder und AWSTOE unterstützen die folgenden Anwendungsumgebungen: prodpreprod, undbeta.

Beispiele für VPC-Endpunktrichtlinien

Dieser Abschnitt enthält Beispiele für benutzerdefinierte VPC-Endpunktrichtlinien.

Allgemeine VPC-Endpunktrichtlinie für Image Builder-Aktionen

Das folgende Beispiel für eine Endpunktrichtlinie für Image Builder verweigert die Erlaubnis zum Löschen von Image Builder-Images und -Komponenten. Die Beispielrichtlinie gewährt auch die Erlaubnis, alle anderen EC2 Image Builder-Aktionen auszuführen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": "imagebuilder:*",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "imagebuilder:DeleteImage",
            "Effect": "Deny",
            "Resource": "*"
        },
        {
            "Action": "imagebuilder:DeleteComponent",
            "Effect": "Deny",
            "Resource": "*"
        }
    ]
}

Beschränken Sie den Zugriff nach Unternehmen und ermöglichen Sie den Zugriff auf verwaltete Komponenten

Das folgende Beispiel für eine Endpunktrichtlinie zeigt, wie Sie den Zugriff auf Identitäten und Ressourcen einschränken, die zu Ihrer Organisation gehören, und den Zugriff auf die Amazon-managed Image Builder-Komponenten gewähren. Ersetzen Sie region principal-org-id und resource-org-id durch die Werte Ihrer Organisation.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "principal-org-id",
                    "aws:ResourceOrgID": "resource-org-id"
                }
            }
        },
        {
            "Sid": "AllowAccessToEC2ImageBuilderComponents",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "imagebuilder:GetComponent"
            ],
            "Resource": [
                "arn:aws:imagebuilder:us-east-1:aws:component/*"
            ]
        }
    ]
}

VPC-Endpunktrichtlinie für den Zugriff auf Amazon S3-Buckets

Das folgende Beispiel für eine S3-Endpunktrichtlinie zeigt, wie der Zugriff auf die S3-Buckets gewährt wird, die Image Builder zum Erstellen benutzerdefinierter Images verwendet. Ersetzen Sie region und environment durch die Werte Ihrer Organisation. Fügen Sie der Richtlinie alle anderen erforderlichen Berechtigungen hinzu, die auf Ihren Anwendungsanforderungen basieren.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowImageBuilderAccessToAppAndComponentBuckets",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::ec2imagebuilder-toe-region-environment/*",
        "arn:aws:s3:::ec2imagebuilder-managed-resources-region-environment/components/*"
      ]
    }
  ]
}