View a markdown version of this page

Requisitos previos de administración del ciclo de vida para imágenes de Generador de imágenes - Generador de Imágenes de EC2
Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenesCreación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes entre cuentas

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Requisitos previos de administración del ciclo de vida para imágenes de Generador de imágenes

Complete estos pasos antes de crear políticas de ciclo de vida.

  • Cree un rol de IAM que conceda permiso a Image Builder para ejecutar políticas de ciclo de vida. Tiene tres opciones:

    • Elija Crear una función de ejecución del ciclo de vida mediante los valores predeterminados del servicio en la consola de Image Builder al crear una política de ciclo de vida. De este modo, se adjunta automáticamente la política EC2ImageBuilderLifecycleExecutionPolicy gestionada.

    • Seleccione Crear un nuevo rol de ejecución del ciclo de vida en la consola de Image Builder. Esto abre IAM con los ajustes preconfigurados para la creación de roles con un solo clic.

    • Cree el rol manualmente. Para obtener instrucciones, consulte Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes.

  • Cree un rol de IAM en cada cuenta de destino en la que distribuya los recursos asociados entre las cuentas. Este rol otorga a Image Builder permiso para realizar acciones del ciclo de vida en esa cuenta. Para obtener instrucciones, consulte Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes entre cuentas.

    nota

    Este requisito previo no se aplica si solo ha concedido permisos de lanzamiento para una AMI de salida. Con los permisos de lanzamiento, todos los recursos de la AMI permanecen en su cuenta.

  • En el caso de las imágenes de contenedores, añada la etiqueta LifecycleExecutionAccess: EC2 Image Builder a sus repositorios de ECR. Esta etiqueta otorga a Image Builder acceso para ejecutar acciones del ciclo de vida en las imágenes de contenedores del repositorio.

Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes

Cree un rol de servicio que conceda permiso a Image Builder para realizar acciones del ciclo de vida en sus recursos de imágenes.

  1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

  2. Elija la opción Roles en el panel de navegación.

  3. Elija Crear rol.

  4. Seleccione Política de confianza personalizada para el tipo de entidad de confianza.

  5. Pegue la siguiente política de confianza de JSON en el área de texto de la política de confianza personalizada y sustituya el texto de ejemplo. Esta política permite a Image Builder asumir la función de las acciones del ciclo de vida.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "sts:AssumeRole"
            ],
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "imagebuilder.amazonaws.com"
                ]
            }
        }
    ]
}

  6. Seleccione una opción EC2ImageBuilderLifecycleExecutionPolicyde la lista de políticas administradas y, a continuación, elija Siguiente.

    sugerencia

    Filtre por image para optimizar los resultados.

  7. Escriba un Role name.

  8. Revisa la configuración y, a continuación, selecciona Crear rol.

Creación de un rol de IAM para la administración del ciclo de vida de Generador de imágenes entre cuentas

Cree este rol en cada cuenta de destino en la que Image Builder distribuya los recursos asociados. El rol otorga permiso a Image Builder para realizar acciones del ciclo de vida en esa cuenta.

  1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

  2. Elija la opción Roles en el panel de navegación.

  3. Elija Crear rol.

  4. Seleccione Política de confianza personalizada para el tipo de entidad de confianza.

  5. Pegue la siguiente política de confianza de JSON en el área de texto de la política de confianza personalizada y sustituya el texto de ejemplo. Esta política permite a Image Builder asumir la función de las acciones del ciclo de vida.

    nota

    Image Builder utiliza esta función en nombre del propietario de la cuenta de destino. aws:SourceAccountEstablézcala en la cuenta en la que Image Builder distribuyó los recursos.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "imagebuilder.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "444455556666"
                },
                "StringLike": {
                    "aws:SourceArn": "arn:*:imagebuilder:*:*:image/*/*/*"
                }
            }
        }
    ]
}

  6. Seleccione una opción EC2ImageBuilderLifecycleExecutionPolicyde la lista de políticas administradas y, a continuación, elija Siguiente.

    sugerencia

    Filtre por image para optimizar los resultados.

  7. Ingrese Ec2ImageBuilderCrossAccountLifecycleAccess como Nombre del rol. Debe usar este nombre exacto.

  8. Revisa la configuración y, a continuación, selecciona Crear rol.