View a markdown version of this page

AWS-MigrateSSMDocumentSharingToRAM - AWS Systems Manager Referencia del manual de procedimientos de Automatización

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS-MigrateSSMDocumentSharingToRAM

Description (Descripción)

El AWS-MigrateSSMDocumentSharingToRAM manual migra un documento de Systems Manager a un recurso compartido AWS Resource Access Manager (AWS RAM). El documento deja de compartir permisos de cuentas, que se administra con la operación de la API. ModifyDocumentPermission La migración conserva los consumidores actuales del documento. Puede migrar un solo documento. También puedes migrar todos los documentos de tu cuenta en los que se compartan los permisos de la cuenta. Para migrar todos los documentos, especifique * el DocumentName parámetro.

El libro de instrucciones revierte automáticamente la migración si se produce un error o se cancela, de modo que se restaura la configuración de uso compartido existente.

Se recomienda completar la migración desde la página Migrar a RAM de la AWS Systems Manager consola. Este asistente de migración selecciona los documentos que se van a migrar y establece los parámetros del libro de ejecución automáticamente, lo que reduce la posibilidad de que se produzcan errores. Para ver los pasos, consulte Para migrar un documento desde su vista de permisos (consola).

importante

Después de migrar un documento a AWS RAM, las operaciones de la DescribeDocumentPermission API ModifyDocumentPermission y muestran un 4xx error para ese documento. Tras la migración, gestiona el uso compartido del documento AWS RAM.

nota

Antes de ejecutar este manual, compruebe que el documento de destino utiliza actualmente el uso compartido de los permisos de la cuenta y que ha configurado los permisos de IAM que se describen en este tema.

nota

No puedes migrar un documento que se comparte de forma pública, porque solo se puede compartir de forma privada AWS RAM . Si especificas un documento compartido de forma pública paraDocumentName, se produce un error en el manual. Si migra todos los documentos especificándolo*, el manual omite los documentos compartidos públicamente. Para migrar un documento compartido públicamente, primero deja de compartirlo públicamente y, después, compártelo con las cuentas, unidades organizativas (OU) u organización que desees.

Tipo de documento

Automatización

Propietario

Amazon

Parameters

  • DocumentName (Obligatorio):

    • Descripción: (Obligatorio) El nombre del documento de Systems Manager que se va a migrar. Especifique * si desea migrar todos los documentos de la cuenta en los que se compartan los permisos de la cuenta.

    • Tipo: String

  • AutomationAssumeRole (Obligatorio):

    • Descripción: (obligatorio) El nombre del recurso de Amazon (ARN) del rol AWS Identity and Access Management (IAM) que permite a Systems Manager Automation realizar las acciones en su nombre.

    • Tipo: String

  • OrganizationalUnits (Opcional):

    • Descripción: (opcional) Un mapa del nombre del documento con una lista de los ID de las unidades organizativas (ou-*) y los ID de la organización (o-*) con los que compartir el documento. Usa la * clave para establecer un valor predeterminado para los documentos que no tienen una entrada propia. Cuando proporcionas este parámetro para un documento, la migración otorga acceso a las unidades organizativas u organizaciones especificadas en lugar de enumerar cuentas individuales. Este enfoque:

      • Mantiene una cuota de recursos pequeña.

      • Concede acceso automáticamente a las cuentas que más adelante se unan a la unidad organizativa u organización.

      • Te ayuda a mantenerte por debajo del AWS RAM límite de 5000 asociaciones principales por recurso compartido.

    • Tipo: StringMap

Ejecuta esta automatización (consola)

Permisos de IAM necesarios

El AutomationAssumeRole parámetro requiere una política de confianza y una política de permisos. Adjunte la siguiente política de confianza para que Systems Manager Automation pueda asumir la función.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Adjunte la siguiente política de permisos. Las declaraciones se organizan en tres grupos para que puedas conceder solo los permisos que necesitas para la migración.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Group1AlwaysRequired",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocumentPermission",
                "ssm:GetResourcePolicies",
                "ssm:PutResourcePolicy",
                "ssm:DeleteResourcePolicy",
                "ram:ListResources",
                "ram:GetResourceShares",
                "ram:PromoteResourceShareCreatedFromPolicy",
                "ram:DeleteResourceShare"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Group2BulkMigration",
            "Effect": "Allow",
            "Action": [
                "ssm:ListDocuments",
                "ssm:StartAutomationExecution",
                "ssm:GetAutomationExecution"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Group2BulkMigrationPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Sid": "Group3OrganizationalUnits",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListParents"
            ],
            "Resource": "*"
        }
    ]
}
nota

  • El grupo 1 siempre es obligatorio, tanto para la migración de un solo documento como para la migración masiva.

  • El grupo 2 solo es necesario para la migración masiva (si lo especificas *DocumentName). En el caso de la migración masiva, el manual muestra una lista de sus documentos e inicia una ejecución de automatización para cada documento, transfiriendo su función a cada ejecución. iam:PassRoleConcéntrese en el AutomationAssumeRole ARN propio del rol, tal y como se muestra. No lo use "Resource": "*" para. iam:PassRole Sustituya ACCOUNT_ID y ROLE_NAME por su identificador de cuenta y nombre de rol.

  • El grupo 3 solo es obligatorio cuando usas el OrganizationalUnits parámetro para compartirlo con unidades organizativas u organizaciones.

Cómo ejecutar este manual
Para migrar un documento desde su vista de permisos (consola) (recomendado)

La página Migrar a RAM establece automáticamente los parámetros del runbook.

  1. Abra la AWS Systems Manager consola y, en el panel de navegación, seleccione Documentos.

  2. Elija el documento que desea migrar.

  3. Elija la pestaña Detalles.

  4. En la sección Permisos, elige Migrar a RAM. Systems Manager abre la página Migrar a RAM, que le ayuda a establecer los parámetros del AWS-MigrateSSMDocumentSharingToRAM libro de operaciones.

  5. Para migrar los documentos, seleccione los documentos que desee migrar. Selecciona documentos individuales o elige Todos los documentos para migrar todos los documentos de la cuenta en la que se comparten los permisos de la cuenta. Esto establece el DocumentName parámetro.

  6. Para AutomationAssumeRole, elija la función de IAM que Systems Manager Automation asume para ejecutar la migración. Esto establece el AutomationAssumeRole parámetro.

  7. (Opcional) En el caso de las unidades organizativas, agrega un identificador de organización o un identificador de unidad organizativa (OU) con el que compartir los documentos. Esto establece el OrganizationalUnits parámetro.

  8. Seleccione Iniciar la migración para ejecutar el AWS-MigrateSSMDocumentSharingToRAM runbook.

Para ejecutar la automatización (consola)

  1. Abra la AWS Systems Manager consola y, en el panel de navegación, elija Automatización.

  2. Elija Ejecutar automatización.

  3. En la lista Automation document (Documento de Automation), elija AWS-MigrateSSMDocumentSharingToRAM.

  4. Para los parámetros de entrada, introduzca valores para DocumentName y yAutomationAssumeRole, de forma opcionalOrganizationalUnits.

  5. Elija Ejecutar.

Para ejecutar la automatización (AWS CLI) 


aws ssm start-automation-execution \
    --document-name AWS-MigrateSSMDocumentSharingToRAM \
    --parameters '{"DocumentName":["MyDocument"],"AutomationAssumeRole":["arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"]}'
nota

La ejecución de este manual utiliza Systems Manager Automation y conlleva gastos. Para más información, consulte Precios de AWS Systems Manager.

Para obtener más información