Considerazioni Sintassi per le politiche EC2 Politiche EC2 supportate

Sintassi ed esempi delle policy EC2

Questa pagina descrive la sintassi delle policy EC2 e fornisce esempi.

Considerazioni

Quando configuri un attributo di servizio utilizzando una policy EC2, ciò potrebbe influire su più API. Qualsiasi azione non conforme fallirà.
Gli amministratori degli account non saranno in grado di modificare il valore dell'attributo di servizio a livello di singolo account.

Sintassi per le politiche EC2

Una policy EC2 è un file di testo semplice strutturato secondo le regole di JSON. La sintassi per le policy EC2 segue la sintassi di tutti i tipi di policy dichiarative. Per una discussione completa di tale sintassi, vedi Policy syntax and inheritance for declarative policy types. Questo argomento si concentra sull'applicazione di tale sintassi generale ai requisiti specifici del tipo di policy EC2.

L'esempio seguente mostra la sintassi di base delle policy EC2:


{
  "ec2_attributes": {
    "exception_message": {
      "@@assign": "Your custom error message.https://myURL"
    }
  }
}

Il nome della chiave di campo ec2_attributes. Le politiche dichiarative iniziano sempre con un nome di chiave fisso per un dato dato. Servizio AWSÈ la prima riga nella policy di esempio precedente.
Inec2_attributes, puoi usare exception_message per impostare un messaggio di errore personalizzato. Per ulteriori informazioni, consulta Messaggi di errore personalizzati per le politiche EC2.
Inec2_attributes, puoi inserire una o più delle politiche EC2 supportate. Per questi schemi, vedi. Politiche EC2 supportate

Politiche EC2 supportate

Di seguito sono riportati gli attributi Servizi AWS e supportati dalle politiche EC2. In alcuni degli esempi seguenti, la formattazione degli spazi bianchi JSON potrebbe essere compressa per risparmiare spazio.

VPC blocca l'accesso pubblico
Accesso alla console seriale
Accesso pubblico a Image Block
Impostazioni delle immagini consentite
Metadata delle istanze
Snapshot Block Public Access
Controlli di crittografia VPC

VPC Block Public Access

Effetto della politica

Controlla se le risorse in Amazon VPC e sottoreti possono raggiungere Internet tramite gateway Internet (IGW). Per ulteriori informazioni, consulta Configurazione per l'accesso a Internet nella Guida per l'utente di Amazon Virtual Private Cloud.

Contenuto della policy


{
  "ec2_attributes": {
    "vpc_block_public_access": {
      "internet_gateway_block": {
        "mode": {
          "@@assign": "block_ingress"
        },
        "exclusions_allowed": {
          "@@assign": "enabled"
        }
      }
    }
  }
}

Di seguito sono riportati i campi disponibili per questo attributo:

"internet_gateway":
- "mode":
  - "off": VPC BPA non è abilitato.
  - "block_ingress": Tutto il traffico Internet verso i VPC (ad eccezione dei VPC o delle sottoreti che sono esclusi) è bloccato. È consentito solo il traffico da e verso i gateway NAT e i gateway Internet egress-only, poiché questi gateway consentono solo di stabilire connessioni in uscita.
  - "block_bidirectional": Tutto il traffico da e verso i gateway Internet e i gateway Internet solo in uscita (ad eccezione dei VPC e delle sottoreti esclusi) è bloccato.
"exclusions_allowed": Un'esclusione è una modalità che può essere applicata a un singolo VPC o sottorete che lo esenta dalla modalità VPC BPA dell'account e consentirà l'accesso bidirezionale o solo in uscita.
- "enabled": Le esclusioni possono essere create dall'account.
- "disabled": Le esclusioni non possono essere create dall'account.
Nota
È possibile utilizzare l'attributo per configurare se le esclusioni sono consentite, ma non è possibile creare esclusioni con questo attributo stesso. Per creare esclusioni, devi crearle nell'account che possiede il VPC. Per ulteriori informazioni sulla creazione di esclusioni VPC BPA, consulta Creare ed eliminare esclusioni nella Amazon VPC User Guide.

Considerazioni

Se utilizzi questo attributo in una policy EC2, non puoi utilizzare le seguenti operazioni per modificare la configurazione applicata per gli account inclusi nell'ambito. Questo elenco non è esaustivo:

ModifyVpcBlockPublicAccessOptions
CreateVpcBlockPublicAccessExclusion
ModifyVpcBlockPublicAccessExclusion

Serial Console Access

Effetto delle politiche

Controlla se la console seriale EC2 è accessibile. Per ulteriori informazioni sulla console seriale EC2, consulta Console seriale EC2 nella Amazon Elastic Compute Cloud User Guide.

Contenuti della policy


{
  "ec2_attributes": {
    "serial_console_access": {
      "status": {
        "@@assign": "enabled"
      }
    }
  }
}

Di seguito sono riportati i campi disponibili per questo attributo:

"status":
- "enabled": L'accesso alla console seriale EC2 è consentito.
- "disabled": l'accesso alla console seriale EC2 è bloccato.

Considerazioni

Se si utilizza questo attributo in una policy EC2, non è possibile utilizzare le seguenti operazioni per modificare la configurazione applicata per gli account inclusi nell'ambito. Questo elenco non è esaustivo:

EnableSerialConsoleAccess
DisableSerialConsoleAccess

Image Block Public Access

Effetto delle politiche

Controlla se Amazon Machine Images (AMI) sono condivisibili pubblicamente. Per ulteriori informazioni sulle AMI, consulta Amazon Machine Images (AMI) nella Amazon Elastic Compute Cloud User Guide.

Contenuto della policy


{
  "ec2_attributes": {
    "image_block_public_access": {
      "state": {
        "@@assign": "block_new_sharing"
      }
    }
  }
}

Di seguito sono riportati i campi disponibili per questo attributo:

"state":
- "unblocked": nessuna restrizione alla condivisione pubblica delle AMI.
- "block_new_sharing": blocca la nuova condivisione pubblica delle AMI. Le AMI che erano già condivise pubblicamente rimangono disponibili al pubblico.

Considerazioni

EnableImageBlockPublicAccess
DisableImageBlockPublicAccess

Allowed Images Settings

Effetto delle politiche

Controlla l'individuazione e l'uso di Amazon Machine Images (AMI) in Amazon EC2 con AMI consentite. Per ulteriori informazioni sulle AMI, consulta Controllare l'individuazione e l'uso delle AMI in Amazon EC2 con AMI consentite nella Amazon Elastic Compute Cloud User Guide.

Contenuto della policy

Di seguito sono riportati i campi disponibili per questo attributo:


{
  "ec2_attributes": {
    "allowed_images_settings": {
      "state": {
        "@@assign": "enabled"
      },
      "image_criteria": {
        "criteria_1": {
          "marketplace_product_codes": {
            "@@append": [
              "abcdefg1234567890"
            ]
          }
        },
        "criteria_2": {
          "allowed_image_providers": {
            "@@append": [
              "123456789012",
              "123456789013"
            ]
          },
          "creation_date_condition": {
            "maximum_days_since_created": {
              "@@assign": 300
            }
          }
        },
        "criteria_3": {
          "allowed_image_providers": {
            "@@assign": [
              "123456789014"
            ]
          },
          "image_names": {
            "@@assign": [
              "golden-ami-*"
            ]
          }
        },
        "criteria_4": {
          "allowed_image_providers": {
            "@@assign": [
              "amazon"
            ]
          },
          "deprecation_time_condition": {
            "maximum_days_since_deprecated": {
              "@@assign": 0
            }
          }
        },
        "criteria_5": {
          "image_watermarks": {
            "image_watermark_1": {
              "watermark_key": {
                "@@assign": "123456789015:approved-production-*"
              },
              "source_image_region": {
                "@@assign": "us-east-1"
              },
              "maximum_days_since_source_image_created": {
                "@@assign": 365
              },
              "maximum_days_since_watermark_created": {
                "@@assign": 90
              }
            },
            "image_watermark_2": {
              "watermark_key": {
                "@@assign": "123456789016:security-scanned"
              }
            }
          }
        }
      }
    }
  }
}

"state"(obbligatorio):
- "enabled": l'attributo è attivo e applicato.
- "disabled": l'attributo è inattivo e non applicato.
- "audit_mode": L'attributo è in modalità di controllo. Ciò significa che identificherà le immagini non conformi ma non ne bloccherà l'utilizzo.
"image_criteria"(opzionale): Un elenco di criteri. Supporta fino a 10 criteri con il nome da criteria_1 a criteria_10. Ogni criterio può contenere uno o più dei seguenti filtri:
- "allowed_image_providers": Un elenco di un massimo di 200 voci. Ogni voce è un ID di account a 12 cifre o un alias del proprietario diamazon, aws_marketplace o. aws_backup_vault
- "image_names": Un elenco di un massimo di 50 nomi di immagini consentiti. I nomi possono includere caratteri jolly (?e*). Lunghezza: 1—128 caratteri. Con?, il minimo è di 3 caratteri.
- "marketplace_product_codes": un elenco di un massimo di 50 codici prodotto del AWS Marketplace per le immagini consentite. Lunghezza: da 1 a 25 caratteri. Caratteri validi: lettere (A—Z, a—z) e numeri (0—9).
- "creation_date_condition": L'età massima consentita per le immagini.
  - "maximum_days_since_created": Il numero massimo di giorni trascorsi dalla creazione dell'immagine. Intervallo valido: 0-2147483647.
- "deprecation_time_condition": periodo massimo di deprecazione per le immagini consentite.
  - "maximum_days_since_deprecated": Il numero massimo di giorni trascorsi da quando l'immagine è diventata obsoleta. Intervallo valido: 0—2147483647.
- "image_watermarks": Una raccolta di filtri di filigrana a cui un'immagine deve corrispondere. A ogni filtro viene assegnato un nomeimage_watermark_1. image_watermark_50 L'immagine passa se un filtro corrisponde a una filigrana sull'immagine. All'interno di un filtro, tutti i campi specificati devono corrispondere alla stessa filigrana. Massimo 50 filtri per criterio.
  
  Campi all'interno di ogni filtro:
  - "watermark_key"(obbligatorio): La chiave della filigrana nel formato<account-id>:<watermark-name>. La parte relativa all'ID dell'account può essere un ID AWS account esatto a 12 cifre o uno schema che utilizza caratteri jolly (and). * ? Il nome della filigrana deve contenere da 3 a 128 caratteri. Supporta i caratteri jolly (e). * ? Caratteri validi: lettere (A—Z, a—z), numeri (0—9), spazi e. () []. / - ' @ _
  - "source_image_region"(opzionale): La AWS regione in cui è stata originariamente creata la filigrana. Supporta i caratteri jolly (*e?).
  - "maximum_days_since_source_image_created"(opzionale): Il numero massimo di giorni trascorsi dalla creazione dell'immagine sorgente. Intervallo valido: 0—2147483647.
  - "maximum_days_since_watermark_created"(facoltativo): Il numero massimo di giorni trascorsi dall'aggiunta della filigrana. Intervallo valido: 0—2147483647.

Considerazioni

EnableAllowedImagesSettings
ReplaceImageCriteriaInAllowedImagesSettings
DisableAllowedImagesSettings

Instance Metadata

Effetto delle politiche

Controlla le impostazioni predefinite IMDS e l'applicazione di IMDSv2 per tutti i lanci di nuove istanze EC2. Per ulteriori informazioni sulle impostazioni predefinite IMDS e sull'applicazione di IMDSv2, consulta Use i metadati delle istanze per gestire l'istanza EC2 nella Amazon EC2 User Guide.

Contenuti della policy

Di seguito sono riportati i campi disponibili per questo attributo:


{
  "ec2_attributes": {
    "instance_metadata_defaults": {
      "http_tokens": {
        "@@assign": "required"
      },
      "http_put_response_hop_limit": {
        "@@assign": "4"
      },
      "http_endpoint": {
        "@@assign": "enabled"
      },
      "instance_metadata_tags": {
        "@@assign": "enabled"
      },
      "http_tokens_enforced": {
        "@@assign": "enabled"
      }
    }
  }
}

"http_tokens":
- "no_preference": si applicano altre impostazioni predefinite. Ad esempio, i valori predefiniti AMI, se applicabile.
- "required": è necessario utilizzare IMDSv2. IMDSv1 non è consentito.
- "optional": Sono consentiti sia IMDSv1 che IMDSv2.
Nota
Versione dei metadati
Prima di http_tokens impostare su required (è necessario utilizzare IMDSv2), assicurati che nessuna delle tue istanze stia effettuando chiamate IMDSv1. Per ulteriori informazioni, consulta Fase 1: Identificazione delle istanze con IMDSv2=opzionale e verifica l'utilizzo di IMDSv1 nella Amazon EC2 User Guide.
"http_put_response_hop_limit":
- "Integer": Valore intero compreso tra -1 e 64, che rappresenta il numero massimo di hop che il token di metadati può percorrere. Per non indicare alcuna preferenza, specificare -1.
Nota
Limite di hop
Se http_tokens è impostato surequired, si consiglia di http_put_response_hop_limit impostarlo su un minimo di 2. Per ulteriori informazioni, consulta Considerazioni sull'accesso ai metadati dell'istanza nella Guida per l'utente di Amazon Elastic Compute Cloud.
"http_endpoint":
- "no_preference": si applicano altre impostazioni predefinite. Ad esempio, i valori predefiniti AMI, se applicabile.
- "enabled": L'endpoint del servizio di metadati dell'istanza è accessibile.
- "disabled": l'endpoint del servizio di metadati dell'istanza non è accessibile.
"instance_metadata_tags":
- "no_preference": si applicano altre impostazioni predefinite. Ad esempio, i valori predefiniti AMI, se applicabile.
- "enabled": È possibile accedere ai tag di istanza dai metadati dell'istanza.
- "disabled": Non è possibile accedere ai tag di istanza dai metadati dell'istanza.
"http_tokens_enforced":
- "no_preference": si applicano altre impostazioni predefinite. Ad esempio, i valori predefiniti AMI, se applicabile.
- "enabled": è necessario utilizzare IMDSv2. I tentativi di avviare un'istanza IMDSv1 o di abilitare IMDSv1 su istanze esistenti falliranno.
- "disabled": Sono consentiti sia IMDSv1 che IMDSv2.
avvertimento
Imposizione di IMDSv2
L'abilitazione dell'applicazione di IMDSv2 mentre si consentono IMDSv1 e IMDSv2 (token opzionale) causerà errori di avvio, a meno che IMDSv1 non sia disabilitato esplicitamente, tramite i parametri di avvio o le impostazioni predefinite AMI. Per ulteriori informazioni, consulta Launching an IMDSv1-enabled istance fail nella Amazon EC2 User Guide.

Snapshot Block Public Access

Effetto della politica

Controlla se gli snapshot di Amazon EBS sono accessibili pubblicamente. Per ulteriori informazioni sugli snapshot EBS, consulta gli snapshot di Amazon EBS nella Amazon Elastic Block Store User Guide.

Contenuto della policy


{
  "ec2_attributes": {
    "snapshot_block_public_access": {
      "state": {
        "@@assign": "block_new_sharing"
      }
    }
  }
}

Di seguito sono riportati i campi disponibili per questo attributo:

"state":
- "block_all_sharing": blocca tutte le condivisioni pubbliche di istantanee. Le istantanee che erano già condivise pubblicamente vengono trattate come private e non sono più disponibili pubblicamente.
- "block_new_sharing": blocca la nuova condivisione pubblica di istantanee. Le istantanee che erano già condivise pubblicamente rimangono disponibili pubblicamente.
- "unblocked": nessuna restrizione alla condivisione pubblica delle istantanee.

Considerazioni

EnableSnapshotBlockPublicAccess
DisableSnapshotBlockPublicAccess

VPC Encryption Controls

Effetto delle politiche

Controlla se i controlli di crittografia Amazon VPC sono abilitati e in quale modalità per i VPC negli account che rientrano nell'ambito della policy. Per ulteriori informazioni, consulta VPC Encryption Controls nella Amazon VPC User Guide.

Contenuto della policy


{
  "ec2_attributes": {
    "vpc_encryption_control": {
      "mode": {
        "@@assign": "attempt_enforce"
      },
      "exclusions": {
        "@@assign": ["internet_gateway", "nat_gateway", "vpc_lattice"]
      }
    }
  }
}

Di seguito sono riportati i campi disponibili per questo attributo:

"mode"(richiesto): La modalità di controllo della crittografia Amazon VPC da applicare a tutti gli account e VPC inclusi nell'ambito.
- "unmanaged": i controlli di crittografia di Amazon VPC sono disattivati. Se scolleghi la policy, il servizio ripristina i controlli di crittografia Amazon VPC a livello di account allo stato precedente. I VPC stessi possono tornare allo stato precedente oppure no. Vedi Considerazioni.
- "attempt_monitor": Tutti i VPC inclusi nell'ambito tentano di passare alla modalità monitor. La modalità Monitor verifica lo stato di crittografia dei flussi di traffico e identifica le risorse che consentono il traffico non crittografato. Un VPC senza controlli di crittografia passa al monitor; un VPC già presente sul monitor rimane al suo interno; un VPC imposto tenta di passare al monitor; i nuovi VPC vengono creati in modalità monitor.
- "attempt_enforce": tutti i VPC inclusi nell'ambito tentano di passare alla modalità Enforce, che garantisce che il VPC consenta solo servizi che crittografano sempre il traffico in transito. Un VPC con controlli di crittografia disattivati passa prima al monitoraggio, quindi tenta di applicarlo automaticamente quando questa modalità è abilitata a livello di account o organizzazione; un VPC in modalità monitor tenta di migrare per imporre l'applicazione; un VPC già in vigore rimane in vigore; i nuovi VPC vengono creati in modalità di applicazione con qualsiasi esclusione del tipo di risorsa definita a livello di organizzazione o account.
"exclusions"(opzionale): Per-Region mappa dei tipi di risorse escludibili che possono essere esclusi dai controlli di crittografia di Amazon VPC.
- internet_gateway
- nat_gateway
- vpc_lattice
- vpc_peering
- lambda
- egress_only_internet_gateway
- elastic_file_system
- virtual_private_gateway

Considerazioni

Quando si passa all'applicazione a livello di account o di organizzazione, il servizio colloca prima i VPC in modalità di monitoraggioattempt_enforce, quindi li trasferisce automaticamente per applicarli. La transizione all'applicazione fallisce se il VPC contiene risorse non conformi che non sono coperte da un'esclusione; tali VPC rimangono in modalità monitor con uno stato di imposizione fallita. Correggi tali risorse o aggiungi prima le esclusioni.
Se si scollega la policy, la configurazione del controllo della crittografia a livello di account torna allo stato precedente prima che la policy fosse allegata.
Se utilizzi questo attributo in una policy EC2, i proprietari di VPC di VPC in-scope non saranno in grado di utilizzare i seguenti comandi a livello di VPC (elenco non esaustivo):
- ModifyVpcEncryptionControl
- DeleteVpcEncryptionControl
- CreateVpcEncryptionControl
Se la transizione a una delle due modalità fallisce, usa DescribeVpcEncryptionControls per trovare tutti i VPC che hanno fallito la transizione, quindi usa GetVpcResourcesBlockingEncryptionEnforcement per trovare le risorse in violazione all'interno dei VPC.
L'ordine di precedenza per le esclusioni è organizzazione, quindi unità organizzativa, quindi account, quindi VPC. Un'esclusione a livello di organizzazione ha la precedenza su un'esclusione a livello di account, che ha la precedenza su un'esclusione. VPC-level

Best practice

Monitora prima dell'applicazione. Operate sempre a attempt_monitor livello di organizzazione e utilizzate il rapporto sullo stato dell'account per confermare che i VPC non dispongono di risorse non escludibili prima di passare a. attempt_enforce
Fate rispettare le norme con esclusioni. Usa Per-region exclusions per risorse che non supportano la crittografia in transito (ad esempio, IGW, gateway NAT, Amazon VPC Lattice).
Comprendi la precedenza. La modalità organizzativa e le esclusioni hanno la precedenza sulle impostazioni dell'account e del VPC; pianifica le implementazioni dall'alto verso il basso.
Piano per il peering. Elimina le esclusioni del peering VPC prima di tentare di riportare i VPC in modalità Enforce al monitor.

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Generazione del rapporto sullo stato dell'account

Policy di backup

Sintassi ed esempi delle policy EC2

Considerazioni

Sintassi per le politiche EC2

Politiche EC2 supportate

Nota

Nota

Nota

avvertimento

Effetto delle politiche

Contenuto della policy

Considerazioni

Best practice