View a markdown version of this page

Von der Systems Manager Manager-Konsole erstellte IAM-Rollen - AWS Systems Manager

• Das AWS Systems Manager CloudWatch Dashboard wird nach dem 30. April 2026 nicht mehr verfügbar sein. Kunden können weiterhin die CloudWatch Amazon-Konsole verwenden, um ihre CloudWatch Amazon-Dashboards anzusehen, zu erstellen und zu verwalten, so wie sie es heute tun. Weitere Informationen finden Sie in der Amazon CloudWatch Dashboard-Dokumentation.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Von der Systems Manager Manager-Konsole erstellte IAM-Rollen

Wenn Sie im Systems Manager einen Cloud Connector erstellen AWS-Managementkonsole, erstellt und konfiguriert Systems Manager in AWS-Konto Ihrem Namen drei IAM-Rollen. Außerdem wird den virtuellen Azure-Computern, die über den Connector registriert wurden, eine verwaltete Instanzrolle zugewiesen. Die Rollen stellen die Vertrauenskette zwischen Systems ManagerState Manager, Automation und Azure über den OpenID Connect (OIDC) -Verbund her. Diese Vertrauenskette ermöglicht es Systems Manager, Automation-Runbooks für Ihre virtuellen Azure-Maschinen ohne langlebige Geheimnisse auszuführen.

Jeder Rollenname verwendet das MusterSSM-AzureType-connector-name-id8, wobei der von Ihnen angegebene Anzeigename (bereinigt durch alphanumerische Zeichen, Bindestriche und Unterstriche, dann gekürzt, um die 64-stellige Rollennamenbeschränkung von IAM zu erfüllen) und aus den ersten acht Zeichen einer UUID connector-name besteht. id8 Die /service-role/ Rollen werden im IAM-Pfad erstellt.

Die Konsole erstellt die Rollen in dieser Reihenfolge:

  1. Azure-Verbundrolle mit einer Vertrauensrichtlinie, die zunächst nur den Systems Manager Manager-Dienstprinzipal als vertrauenswürdige Entität benennt.

  2. Die Automatisierung übernimmt die Rolle und die Automatisierung die Rolle.

  3. Die Konsole aktualisiert dann die Vertrauensrichtlinie der Azure-Verbundrolle, um die Rolle „Automation Assume“ und die „Automation Dispatch“ -Rolle als vertrauenswürdige Prinzipale hinzuzufügen. Nach diesem Update entspricht die Vertrauensrichtlinie der unterAzure-Verbundrolle.

Anmerkung

Die Systems Manager Manager-Konsole erstellt diese Rollen nur während des Cloud Connector-Setupassistenten. Wenn Sie einen Cloud Connector mit dem AWS CLI (wie unter beschriebenSchritt 2: Einen Systems Manager Cloud Connector erstellen) erstellen, müssen Sie die Rollen selbst erstellen. Die Vertrauens- und Berechtigungsrichtlinien in diesem Abschnitt zeigen den JSON-Code, den Sie verwenden können, um sie neu zu erstellen. Gehen Sie wie folgt vor, wenn Sie die Rollen neu erstellen:

  • Erstellen Sie alle drei Rollen (Azure-Verbund, Automation Assume und Automation Dispatch) im /service-role/ IAM-Pfad. Die Berechtigungsrichtlinien und die Vertrauensrichtlinie der Azure-Verbundrolle verweisen nach ARNs auf die Rollen, die diesen Pfad enthalten.

  • Kennzeichnen Sie die Automatisierungsrolle übernehmen und die Automatisierungs-Dispatch-Rolle mit dem Principal-Tagcaller=SSM. Die Vertrauensrichtlinie der Azure-Verbundrolle erfordert dieses Tag.

Alle API-Aufrufe, die diese Rollen tätigen, werden in AWS CloudTrail (CloudTrail) protokolliert. Informationen zur Anmeldung bei CloudTrail Systems Manager finden Sie unterAWS Systems Manager API-Aufrufe protokollieren mit AWS CloudTrail.