使用 Image Builder 设置跨账户 AMI 分配

要使用跨账户分配的 Image Builder AMI，目标账户所有者必须在其账户中创建一个名为 EC2ImageBuilderDistributionCrossAccountRole 的新 IAM 角色。

他们必须将 Ec2ImageBuilderCrossAccountDistributionAccess 策略 附加到角色才能启用跨账户分配。有关托管策略的更多信息，请参阅 Amazon Identity and Access Management 用户指南 中的托管策略与内联策略。

确认源账户 ID 已添加到目标账户的 IAM 角色所附的信任策略中。有关信任策略的更多信息，请参阅 Amazon Identity and Access Management 用户指南 中的 基于资源的策略。

如果您分配的 AMI 已加密，则目标账户所有者必须在其账户的 EC2ImageBuilderDistributionCrossAccountRole 中添加以下内联策略，以便使用您的 KMS 密钥。Principal 部分包含他们的账号。这使得 Image Builder 能够在使用每个 Amazon KMS 区域的相应密钥对 AMI 进行加密和解密时代表他们采取行动。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowRoleToPerformKMSOperationsOnBehalfOfTheDestinationAccount",
			"Effect": "Allow",
			"Action": [
				"kms:Encrypt",
				"kms:Decrypt",
				"kms:ReEncrypt*",
				"kms:GenerateDataKey*",
				"kms:DescribeKey",
				"kms:CreateGrant",
				"kms:ListGrants",
				"kms:RevokeGrant"
			],
			"Resource": "*"
		}
	]
}

有关内联策略的更多信息，请参阅 Amazon Identity and Access Management 用户指南中的内联策略。

如果您使用 launchTemplateConfigurations 指定 Amazon EC2 启动模板，则还必须在每个目标账户的 EC2ImageBuilderDistributionCrossAccountRole 中添加以下策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateLaunchTemplateVersion",
                "ec2:ModifyLaunchTemplate"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/CreatedBy": "EC2 Image Builder"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*:*:launch-template/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CreatedBy": "EC2 Image Builder"
                }
            }
        }
    ]
}

打开位于 https://console.aws.amazon.com/imagebuilder/的 EC2 Image Builder 控制台。

从导航窗格中，选择分配设置。这将显示在您的账户下创建的分配设置列表。

在分配设置页面的顶部，选择创建分配设置。这将跳转到创建分配设置页面。

在映像类型部分，选择 Amazon Machine Image (AMI) 作为输出类型。这是默认设置。

在常规部分中，输入要创建的分配设置资源的名称（必填）。

在区域设置部分，在选定区域的目标账户中输入您要向其分配 AMI 的 12 位账户 ID，然后按输入。这将检查格式是否正确，然后框的下方会显示您输入的账户 ID。重复该过程以添加更多帐户。

要删除您输入的账户，请选择账户 ID 右侧显示的 X。

输入每个区域的输出 AMI 名称。

继续指定所需的任何其他设置，然后选择创建设置以创建新的分配设置资源。

配置分配设置文件

在使用中的create-image命令创建分发给其他账户的 Image Builder AMI 之前，必须创建一个在AmiDistributionConfiguration设置中指定目标账户 ID 的 DistributionConfiguration JSON 结构。 Amazon CLI 您必须在源区域中指定至少一个 AmiDistributionConfiguration。

以下名为 create-distribution-configuration.json 的示例文件显示了源区域中跨账户映像分配的配置。

{
	"name": "cross-account-distribution-example",
	"description": "Cross Account Distribution Configuration Example",
	"distributions": [
		{
			"amiDistributionConfiguration": {
				"targetAccountIds": ["123456789012", "987654321098"],
				"name": "Name {{ imagebuilder:buildDate }}", 
				"description": "ImageCopy Ami Copy Configuration"
			}, 
			"region": "us-west-2"
		}
	]
}

创建分配设置

要使用中的create-distribution-configuration命令创建 Image Builder 分发设置资源 Amazon CLI，请在命令中提供以下参数：

aws imagebuilder create-distribution-configuration --name my distribution name --cli-input-json file://create-distribution-configuration.json