Configuración de rol de asunción para Systems Manager - AWS Systems Manager
Creación de un rol de asunción para la Configuración Rápida de Systems Manager:Políticas de permisos

• Change Manager de AWS Systems Manager ya no está abierto a nuevos clientes. Los clientes existentes pueden seguir utilizando el servicio con normalidad. Para obtener más información, consulte Cambio en la disponibilidad de Change Manager de AWS Systems Manager.

 

• El panel de AWS Systems Manager CloudWatch dejará de estar disponible después del 30 de abril de 2026. Los clientes pueden seguir utilizando la consola de Amazon CloudWatch para ver, crear y administrar sus paneles de Amazon CloudWatch, tal y como lo hacen actualmente. Para obtener más información, consulte la documentación del panel de Amazon CloudWatch.

Configuración de rol de asunción para Systems Manager

Creación de un rol de asunción para la Configuración Rápida de Systems Manager:

La Configuración Rápida de Systems Manager requiere un rol que permita a Systems Manager realizar acciones de forma segura en su cuenta. Este rol otorga a Systems Manager los permisos necesarios para ejecutar comandos en sus instancias y configurar las instancias de EC2, los roles de IAM y otros recursos de Systems Manager en su nombre.

  1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

  2. En el panel de navegación, seleccione Políticas y, a continuación, seleccione Crear política.

  3. Añada la política SsmOnboardingInlinePolicy mediante el JSON que aparece a continuación. (Esta política activa las acciones necesarias para adjuntar los permisos del perfil de la instancia a las instancias que especifiques. Por ejemplo, permitir la creación de perfiles de instancias y asociarlos a instancias de EC2).

  4. Una vez completado el paso anterior, seleccione Roles en el panel de navegación y, a continuación, Crear rol.

  5. En Tipo de entidad de confianza, déjelo como predeterminado (servicio).

  6. En Caso de uso, elija Systems Manager y, a continuación, elija Siguiente.

  7. Se abre la página Agregar permisos:

  8. Añade la política SsmOnboardingInlinePolicy

  9. Elija Siguiente.

  10. En Nombre del rol, ingrese un nombre descriptivo (por ejemplo, AmazonSSMRoleForAutomationAssumeQuickSetup).

  11. (Opcional) Agregue etiquetas para que sea más fácil identificar y organizar el rol.

  12. Elija Creación de rol.

importante

El rol debe tener una relación de confianza con ssm.amazonaws.com. Esto se configura de manera automática al seleccionar Systems Manager como servicio en el paso 4.

Tras crear el rol, puede seleccionarlo al configurar la Configuración Rápida. El rol permite a Systems Manager administrar las instancias de EC2, los roles de IAM y otros recursos de Systems Manager y ejecutar comandos en su nombre y, al mismo tiempo, mantener la seguridad mediante permisos específicos y limitados.

Políticas de permisos

SsmOnboardingInlinePolicy

La siguiente política define los permisos para la Configuración Rápida de Systems Manager:

{
    "Version": "2012-10-17" 		 	 	 ,
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateInstanceProfile",
                "iam:ListInstanceProfilesForRole",
                "ec2:DescribeIamInstanceProfileAssociations",
                "iam:GetInstanceProfile",
                "iam:AddRoleToInstanceProfile"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssociateIamInstanceProfile"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "Null": {
                    "ec2:InstanceProfile": "true"
                },
                "ArnLike": {
                    "ec2:NewInstanceProfile": "arn:aws:iam::*:instance-profile/[INSTANCE_PROFILE_ROLE_NAME]"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/[INSTANCE_PROFILE_ROLE_NAME]",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        }
    ]
        }
Relación de confianza

Esto se agrega automáticamente mediante los pasos anteriores

{
    "Version": "2012-10-17" 		 	 	 ,
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
     ]
        }