View a markdown version of this page

AWS-MigrateSSMDocumentSharingToRAM - AWS Systems Manager Runbook-Referenz für Automation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS-MigrateSSMDocumentSharingToRAM

Description

Das AWS-MigrateSSMDocumentSharingToRAM Runbook migriert ein Systems Manager-Dokument in eine AWS Resource Access Manager (AWS RAM) -Ressourcenfreigabe. Das Dokument wird von der gemeinsamen Nutzung von Kontoberechtigungen, die Sie mit der API-Operation verwalten, übernommen. ModifyDocumentPermission Bei der Migration bleiben die bestehenden Nutzer des Dokuments erhalten. Sie können ein einzelnes Dokument migrieren. Sie können auch jedes Dokument in Ihrem Konto migrieren, das die gemeinsame Nutzung von Kontoberechtigungen verwendet. Um alle Dokumente zu migrieren, geben Sie * für den DocumentName Parameter Folgendes an.

Das Runbook setzt die Migration automatisch zurück, wenn sie fehlschlägt oder abgebrochen wird, sodass Ihre bestehende Sharing-Konfiguration wiederhergestellt wird.

Wir empfehlen, dass Sie die Migration mithilfe der Seite „Zu RAM migrieren“ in der AWS Systems Manager Konsole abschließen. Dieser Migrationsassistent wählt die zu migrierenden Dokumente aus und legt die Runbook-Parameter für Sie fest, wodurch das Fehlerrisiko verringert wird. Die Schritte dazu finden Sie unter So migrieren Sie ein Dokument aus seiner Berechtigungsansicht (Konsole).

Wichtig

Nachdem ein Dokument in ein Dokument migriert wurde AWS RAM, geben die Operationen ModifyDocumentPermission und die DescribeDocumentPermission API einen 4xx Fehler für dieses Dokument zurück. Nach der Migration können Sie die gemeinsame Nutzung des Dokuments über AWS RAM verwalten.

Anmerkung

Bevor Sie dieses Runbook ausführen, stellen Sie sicher, dass das Zieldokument derzeit die gemeinsame Nutzung von Kontoberechtigungen verwendet und dass Sie die in diesem Thema beschriebenen IAM-Berechtigungen konfiguriert haben.

Anmerkung

Sie können ein öffentlich geteiltes Dokument nicht migrieren, da nur das private Teilen AWS RAM unterstützt wird. Wenn Sie ein öffentlich geteiltes Dokument für angebenDocumentName, schlägt das Runbook fehl. Wenn Sie alle Dokumente migrieren, indem Sie Folgendes angeben*, überspringt das Runbook öffentlich geteilte Dokumente. Um ein öffentlich geteiltes Dokument zu migrieren, beenden Sie zunächst die öffentliche Freigabe und geben Sie es dann für die gewünschten Konten, Organisationseinheiten (OUs) oder Organisationen frei.

Dokumenttyp

Automatisierung

Eigentümer

Amazon

Parameters

  • DocumentName (Erforderlich):

    • Beschreibung: (Erforderlich) Der Name des Systems Manager-Dokuments, das migriert werden soll. Geben Sie * an, dass alle Dokumente im Konto migriert werden sollen, die gemeinsame Nutzung von Kontoberechtigungen verwenden.

    • Typ: String

  • AutomationAssumeRole (Erforderlich):

    • Beschreibung: (Erforderlich) Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen auszuführen.

    • Typ: String

  • OrganizationalUnits (Fakultativ):

    • Beschreibung: (Optional) Eine Zuordnung des Dokumentnamens zu einer Liste von Organisationseinheiten-IDs (ou-*) und Organisations-IDs (o-*), mit denen das Dokument geteilt werden soll. Verwenden Sie den * Schlüssel, um eine Standardeinstellung für Dokumente festzulegen, die keinen eigenen Eintrag haben. Wenn Sie diesen Parameter für ein Dokument angeben, gewährt die Migration Zugriff auf die angegebenen Organisationseinheiten oder Organisationen, anstatt einzelne Konten aufzulisten. Dieser Ansatz:

      • Hält den Ressourcenanteil klein.

      • Gewährt automatisch Zugriff auf Konten, die später der Organisationseinheit oder Organisation beitreten.

      • Hilft Ihnen, das AWS RAM Limit von 5.000 Hauptverbänden pro gemeinsam genutzter Ressource einzuhalten.

    • Typ: StringMap

Führen Sie diese Automatisierung aus (Konsole)

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert eine Vertrauensrichtlinie und eine Berechtigungsrichtlinie. Fügen Sie die folgende Vertrauensrichtlinie hinzu, damit Systems Manager Automation die Rolle übernehmen kann.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Hängen Sie die folgende Berechtigungsrichtlinie an. Die Anweisungen sind in drei Gruppen unterteilt, sodass Sie nur die Berechtigungen erteilen können, die Sie für Ihre Migration benötigen.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Group1AlwaysRequired",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocumentPermission",
                "ssm:GetResourcePolicies",
                "ssm:PutResourcePolicy",
                "ssm:DeleteResourcePolicy",
                "ram:ListResources",
                "ram:GetResourceShares",
                "ram:PromoteResourceShareCreatedFromPolicy",
                "ram:DeleteResourceShare"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Group2BulkMigration",
            "Effect": "Allow",
            "Action": [
                "ssm:ListDocuments",
                "ssm:StartAutomationExecution",
                "ssm:GetAutomationExecution"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Group2BulkMigrationPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Sid": "Group3OrganizationalUnits",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListParents"
            ],
            "Resource": "*"
        }
    ]
}
Anmerkung

  • Gruppe 1 ist immer erforderlich, sowohl für Einzeldokumente als auch für Massenmigrationen.

  • Gruppe 2 ist nur für die Massenmigration erforderlich (wenn Sie dies angeben *DocumentName). Bei der Massenmigration listet das Runbook Ihre Dokumente auf und startet eine Automatisierungsausführung für jedes Dokument, wobei Ihre Rolle an jede Ausführung übergeben wird. Umfang iam:PassRole auf den eigenen ARN der AutomationAssumeRole Rolle, wie in der Abbildung gezeigt. Nicht verwenden "Resource": "*" füriam:PassRole. Ersetzen Sie ACCOUNT_ID und ROLE_NAME durch Ihre Konto-ID und Ihren Rollennamen.

  • Gruppe 3 ist nur erforderlich, wenn Sie den OrganizationalUnits Parameter für die gemeinsame Nutzung mit Organisationseinheiten oder Organisationen verwenden.

Wie führe ich dieses Runbook aus
Um ein Dokument aus der Berechtigungsansicht (Konsole) zu migrieren (empfohlen)

Auf der Seite „Zu RAM migrieren“ werden die Runbook-Parameter für Sie festgelegt.

  1. Öffnen Sie die AWS Systems Manager Konsole und wählen Sie im Navigationsbereich Dokumente aus.

  2. Wählen Sie das Dokument aus, das Sie migrieren möchten.

  3. Wählen Sie die Registerkarte Details.

  4. Wählen Sie im Abschnitt Berechtigungen die Option Zu RAM migrieren aus. Systems Manager öffnet die Seite „Zu RAM migrieren“, auf der Sie die Parameter für das AWS-MigrateSSMDocumentSharingToRAM Runbook festlegen können.

  5. Wählen Sie unter Zu migrierende Dokumente die zu migrierenden Dokumente aus. Wählen Sie einzelne Dokumente aus oder wählen Sie Alle Dokumente aus, um alle Dokumente in dem Konto zu migrieren, das die gemeinsame Nutzung von Kontoberechtigungen verwendet. Dadurch wird der DocumentName Parameter festgelegt.

  6. Wählen Sie für AutomationAssumeRole die IAM-Rolle aus, die Systems Manager Automation annimmt, um die Migration auszuführen. Dadurch wird der AutomationAssumeRole Parameter festgelegt.

  7. (Optional) Fügen Sie für Organisationseinheiten eine Organisations-ID oder eine ID der Organisationseinheit (OU) hinzu, mit der Sie die Dokumente teilen möchten. Dadurch wird der OrganizationalUnits Parameter festgelegt.

  8. Wählen Sie Migration starten, um das AWS-MigrateSSMDocumentSharingToRAM Runbook auszuführen.

Um die Automatisierung auszuführen (Konsole)

  1. Öffnen Sie die AWS Systems Manager Konsole und wählen Sie im Navigationsbereich Automation aus.

  2. Wählen Sie Automatisierung ausführen.

  3. Wählen Sie in der Liste Automation-Dokument AWS-MigrateSSMDocumentSharingToRAM.

  4. Geben Sie für die Eingabeparameter Werte für DocumentName und AutomationAssumeRole und optional einOrganizationalUnits.

  5. Wählen Sie Ausführen.

Um die Automatisierung (AWS CLI) auszuführen 


aws ssm start-automation-execution \
    --document-name AWS-MigrateSSMDocumentSharingToRAM \
    --parameters '{"DocumentName":["MyDocument"],"AutomationAssumeRole":["arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"]}'
Anmerkung

Beim Ausführen dieses Runbooks wird Systems Manager Automation verwendet und es fallen Gebühren an. Weitere Informationen finden Sie unter AWS Systems Manager Preise.

Weitere Informationen