Actions, ressources et clés de condition pour AWS Systems Manager
AWS Systems Manager (préfixe de service :ssm) fournit les opérations, ressources, actions et clés de condition spécifiques aux services suivantes à utiliser dans les politiques d'autorisation IAM.
Références :
-
Découvrez comment configurer ce service.
-
Affichez la liste des opérations d'API disponibles pour ce service.
-
Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.
-
Consultez la référence d'autorisation de service programmatique
pour ce service.
Rubriques
Opérations d'API définies par AWS Systems Manager
Le tableau suivant fait correspondre les opérations d'API aux actions IAM qu'elles autorisent. Seules les clés de condition qui ont des valeurs statiques pour l'API et l'action données sont répertoriées ; pour l'ensemble complet des clés de condition prises en charge par chaque action, consultez le tableau Actions.
| Opération | Action IAM | Clé de condition | Valeur (s) possible (s) | Niveau d’accès |
|---|---|---|---|---|
|
AddTagsToResource |
Marquage, écriture |
|||
|
AssociateOpsItemRelatedItem |
Écrire |
|||
|
CancelCommand |
Écrire |
|||
|
CancelMaintenanceWindowExecution |
Écrire |
|||
|
CreateActivation |
Marquage, écriture |
|||
Écrire |
||||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
CreateAssociation |
Marquage, écriture |
|||
Écrire |
||||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
CreateAssociationBatch |
Écrire |
|||
Écrire |
||||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
CreateCloudConnector |
Marquage, écriture |
|||
Écrire |
||||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
CreateDocument |
Marquage, écriture |
|||
Écrire |
||||
Lecture |
||||
iam : PassedToService |
justintimeaccess.ssm.amazonaws.com, ssm.amazonaws.com |
Écrire |
||
|
CreateMaintenanceWindow |
Marquage, écriture |
|||
Écrire |
||||
|
CreateOpsItem |
Marquage, écriture |
|||
Écrire |
||||
|
CreateOpsMetadata |
Marquage, écriture |
|||
Écrire |
||||
|
CreatePatchBaseline |
Marquage, écriture |
|||
Écrire |
||||
|
CreateResourceDataSync |
Écrire |
|||
|
DeleteActivation |
Écrire |
|||
|
DeleteAssociation |
Écrire |
|||
|
DeleteCloudConnector |
Écrire |
|||
|
DeleteDocument |
Écrire |
|||
|
DeleteInventory |
Écrire |
|||
|
DeleteMaintenanceWindow |
Écrire |
|||
|
DeleteOpsItem |
Écrire |
|||
|
DeleteOpsMetadata |
Écrire |
|||
|
DeleteParameter |
Écrire |
|||
|
DeleteParameters |
Écrire |
|||
|
DeletePatchBaseline |
Écrire |
|||
|
DeleteResourceDataSync |
Écrire |
|||
|
DeleteResourcePolicy |
Gestion des autorisations, écriture |
|||
|
DeregisterManagedInstance |
Écrire |
|||
|
DeregisterPatchBaselineForPatchGroup |
Écrire |
|||
|
DeregisterTargetFromMaintenanceWindow |
Écrire |
|||
|
DeregisterTaskFromMaintenanceWindow |
Écrire |
|||
|
DescribeActivations |
Lecture |
|||
|
DescribeAssociation |
Lecture |
|||
|
DescribeAssociationExecutionTargets |
Lecture |
|||
|
DescribeAssociationExecutions |
Lecture |
|||
|
DescribeAutomationExecutions |
Lecture |
|||
|
DescribeAutomationStepExecutions |
Lecture |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
DescribeAvailablePatches |
Lecture |
|||
|
DescribeDocument |
Lecture |
|||
|
DescribeDocumentPermission |
Lecture |
|||
|
DescribeEffectiveInstanceAssociations |
Lecture |
|||
|
DescribeEffectivePatchesForPatchBaseline |
Lecture |
|||
|
DescribeInstanceAssociationsStatus |
Lecture |
|||
|
DescribeInstanceInformation |
Lecture |
|||
|
DescribeInstancePatchStates |
Lecture |
|||
|
DescribeInstancePatchStatesForPatchGroup |
Lecture |
|||
|
DescribeInstancePatches |
Lecture |
|||
|
DescribeInstanceProperties |
Lecture |
|||
|
DescribeInventoryDeletions |
Lecture |
|||
|
DescribeMaintenanceWindowExecutionTaskInvocations |
List |
|||
|
DescribeMaintenanceWindowExecutionTasks |
List |
|||
|
DescribeMaintenanceWindowExecutions |
List |
|||
|
DescribeMaintenanceWindowSchedule |
List |
|||
|
DescribeMaintenanceWindowTargets |
List |
|||
|
DescribeMaintenanceWindowTasks |
List |
|||
|
DescribeMaintenanceWindows |
List |
|||
|
DescribeMaintenanceWindowsForTarget |
List |
|||
|
DescribeOpsItems |
Lecture |
|||
|
DescribeParameters |
List |
|||
|
DescribePatchBaselines |
List |
|||
|
DescribePatchGroupState |
List |
|||
|
DescribePatchGroups |
List |
|||
|
DescribePatchProperties |
List |
|||
|
DescribeSessions |
List |
|||
|
DisassociateOpsItemRelatedItem |
Écrire |
|||
|
GetAccessToken |
Lecture |
|||
|
GetAutomationExecution |
Lecture |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
GetCalendarState |
Lecture |
|||
|
GetCloudConnector |
Lecture |
|||
|
GetCommandInvocation |
Lecture |
|||
|
GetConnectionStatus |
Lecture |
|||
|
GetDefaultPatchBaseline |
Lecture |
|||
|
GetDeployablePatchSnapshotForInstance |
Lecture |
|||
|
GetDocument |
Lecture |
|||
|
GetExecutionPreview |
Lecture |
|||
|
GetInventory |
Lecture |
|||
|
GetInventorySchema |
Lecture |
|||
|
GetMaintenanceWindow |
Lecture |
|||
|
GetMaintenanceWindowExecution |
Lecture |
|||
|
GetMaintenanceWindowExecutionTask |
Lecture |
|||
|
GetMaintenanceWindowExecutionTaskInvocation |
Lecture |
|||
|
GetMaintenanceWindowTask |
Lecture |
|||
|
GetOpsItem |
Lecture |
|||
|
GetOpsMetadata |
Lecture |
|||
|
GetOpsSummary |
Lecture |
|||
|
GetParameter |
Lecture |
|||
|
GetParameterHistory |
Lecture |
|||
|
GetParameters |
Lecture |
|||
|
GetParametersByPath |
Lecture |
|||
|
GetPatchBaseline |
Lecture |
|||
|
GetPatchBaselineForPatchGroup |
Lecture |
|||
|
GetResourcePolicies |
List |
|||
|
GetServiceSetting |
Lecture |
|||
|
LabelParameterVersion |
Écrire |
|||
|
ListAssociationVersions |
List |
|||
|
ListAssociations |
List |
|||
|
ListCloudConnectors |
List |
|||
|
ListCommandInvocations |
List |
|||
|
ListCommands |
List |
|||
|
ListComplianceItems |
List |
|||
|
ListComplianceSummaries |
List |
|||
|
ListDocumentMetadataHistory |
List |
|||
|
ListDocumentVersions |
List |
|||
|
ListDocuments |
List |
|||
|
ListInventoryEntries |
List |
|||
|
ListNodes |
List |
|||
|
ListNodesSummary |
List |
|||
|
ListOpsItemEvents |
List |
|||
|
ListOpsItemRelatedItems |
List |
|||
|
ListOpsMetadata |
List |
|||
|
ListResourceComplianceSummaries |
List |
|||
|
ListResourceDataSync |
List |
|||
|
ListTagsForResource |
List |
|||
|
ModifyDocumentPermission |
Gestion des autorisations, écriture |
|||
|
PutComplianceItems |
Écrire |
|||
|
PutInventory |
Écrire |
|||
|
PutParameter |
Marquage, écriture |
|||
Écrire |
||||
|
PutResourcePolicy |
Gestion des autorisations, écriture |
|||
|
RegisterDefaultPatchBaseline |
Écrire |
|||
|
RegisterPatchBaselineForPatchGroup |
Écrire |
|||
|
RegisterTargetWithMaintenanceWindow |
Écrire |
|||
|
RegisterTaskWithMaintenanceWindow |
Écrire |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
RemoveTagsFromResource |
Marquage, écriture |
|||
|
ResetServiceSetting |
Écrire |
|||
|
ResumeSession |
Écrire |
|||
|
SendAutomationSignal |
Écrire |
|||
|
SendCommand |
Écrire |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
StartAccessRequest |
Marquage, écriture |
|||
Écrire |
||||
|
StartAssociationsOnce |
Écrire |
|||
|
StartAutomationExecution |
Marquage, écriture |
|||
Écrire |
||||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
StartChangeRequestExecution |
Écrire |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
StartExecutionPreview |
Lecture |
|||
|
StartSession |
Écrire |
|||
|
StopAutomationExecution |
Écrire |
|||
|
TerminateSession |
Écrire |
|||
|
UnlabelParameterVersion |
Écrire |
|||
|
UpdateAssociation |
Écrire |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
UpdateAssociationStatus |
Écrire |
|||
|
UpdateCloudConnector |
Écrire |
|||
|
UpdateDocument |
Écrire |
|||
iam : PassedToService |
justintimeaccess.ssm.amazonaws.com, ssm.amazonaws.com |
Écrire |
||
|
UpdateDocumentDefaultVersion |
Écrire |
|||
|
UpdateDocumentMetadata |
Écrire |
|||
|
UpdateMaintenanceWindow |
Écrire |
|||
|
UpdateMaintenanceWindowTarget |
Écrire |
|||
|
UpdateMaintenanceWindowTask |
Écrire |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
UpdateManagedInstanceRole |
Écrire |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
UpdateOpsItem |
Écrire |
|||
|
UpdateOpsMetadata |
Écrire |
|||
|
UpdatePatchBaseline |
Écrire |
|||
|
UpdateResourceDataSync |
Écrire |
|||
|
UpdateServiceSetting |
Écrire |
|||
iam : PassedToService |
ssm.amazonaws.com |
Écrire |
||
|
ValidateCloudConnector |
Lecture |
Actions définies par AWS Systems Manager
Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.
| Actions | Description | Types de ressources (*obligatoire) | Clés de condition | Niveau d’accès |
|---|---|---|---|---|
Accorde l'autorisation d'ajouter ou de remplacer une ou plusieurs balises pour une ressource spécifiée AWS |
était : RequestTag /$ {} TagKey |
Marquage, écriture |
||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
Accorde l'autorisation de s'associer RelatedItem à un OpsItem |
Écrire |
|||
Accorde l'autorisation d'annuler une commande Exécuter la commande spécifiée |
Écriture |
|||
Accorde l'autorisation d'annuler une exécution de fenêtre de maintenance en cours |
Écrire |
|||
Accorde l'autorisation de créer une activation qui est utilisée pour enregistrer des serveurs sur site et des machines virtuelles (VM) avec Systems Manager |
Écrire |
|||
Accorde l'autorisation d'associer un document Systems Manager spécifié à des instances ou à d'autres cibles spécifiées |
était : RequestTag /$ {} TagKey |
Écrire |
||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
Permet de combiner des entrées pour plusieurs CreateAssociation opérations dans une seule commande |
était : RequestTag /$ {} TagKey |
Écrire |
||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
Accorde l'autorisation de créer un connecteur cloud pour gérer les instances dans d'autres environnements cloud |
était : RequestTag /$ {} TagKey |
Écrire |
||
Accorde l'autorisation de créer un document SSM de Systems Manager |
était : RequestTag /$ {} TagKey |
Écrire |
||
Accorde l'autorisation de créer une fenêtre de maintenance |
Écrire |
|||
Accorde l'autorisation de créer un OpsItem in OpsCenter |
Écrire |
|||
Accorde l'autorisation de créer un OpsMetadata objet pour une AWS ressource |
Écrire |
|||
Accorde l'autorisation de créer un référentiel de correctifs |
Écrire |
|||
Accorde l'autorisation de créer une configuration de synchronisation des données de ressource, qui collecte régulièrement les données d'inventaire à partir d'instances gérées et met à jour les données dans un compartiment Amazon S3 |
Écrire |
|||
Accorde l'autorisation de supprimer une activation spécifiée pour les instances gérées |
Écriture |
|||
Accorde l'autorisation de dissocier un document SSM spécifié d'une instance spécifiée |
Écrire |
|||
Accorde l'autorisation de supprimer un connecteur cloud spécifié |
Écrire |
|||
Accorde l'autorisation de supprimer un document SSM spécifié et ses associations d'instances |
Écrire |
|||
Accorde l'autorisation de supprimer un type d'inventaire personnalisé spécifié ou les données associées à un type d'inventaire personnalisé |
Écriture |
|||
Accorde l'autorisation de supprimer une fenêtre de maintenance spécifiée |
Écrire |
|||
Accorde l'autorisation de supprimer un OpsItem |
Écrire |
|||
Accorde l'autorisation de supprimer un OpsMetadata objet |
Écrire |
|||
Accorde l'autorisation de supprimer un paramètre SSM spécifié |
Écrire |
|||
Accorde l'autorisation de supprimer plusieurs paramètres SSM spécifiés |
Écrire |
|||
Accorde l'autorisation de supprimer un référentiel de correctifs spécifié |
Écrire |
|||
Accorde l'autorisation de supprimer une synchronisation des données d'une ressource spécifiée |
Écrire |
|||
Accorde l'autorisation de supprimer une politique de ressource de Systems Manager |
Gestion des autorisations, écriture |
|||
Accorde l'autorisation de désinscrire un serveur sur site ou une machine virtuelle (VM) spécifié à partir de Systems Manager |
Écrire |
|||
Accorde l'autorisation de désinscrire un référentiel de correctifs spécifié en tant que référentiel de correctifs par défaut pour un groupe de correctifs spécifié |
Écrire |
|||
Accorde l'autorisation de désinscrire une cible spécifiée d'une fenêtre de maintenance |
Écrire |
|||
Accorde l'autorisation de désinscrire une tâche spécifiée d'une fenêtre de maintenance |
Écrire |
|||
Accorde l'autorisation d'afficher des détails sur l'activation d'une instance gérée spécifiée, par exemple la date de sa création et le nombre d'instances enregistrées à l'aide de l'activation |
Lecture |
|||
Accorde l'autorisation d'afficher les détails de l'association spécifiée pour une instance ou une cible spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher des informations sur une exécution d'association spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher toutes les exécutions pour une association spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher les détails de toutes les exécutions d'Automation actives et terminées |
Lecture |
|||
Accorde l'autorisation d'afficher les informations sur toutes les exécutions d'étape actives et terminées dans un flux de travail d'automatisation |
Lecture |
|||
Accorde l'autorisation d'afficher tous les correctifs pouvant être inclus dans un référentiel de correctifs |
Lecture |
|||
Accorde l'autorisation d'afficher les détails d'un document SSM spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher des informations sur les paramètres du document SSM dans la console Systems Manager (action interne de Systems Manager) |
Lecture |
|||
Accorde l'autorisation d'afficher les autorisations pour un document SSM spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher toutes les associations actuelles pour une instance spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher des détails sur les correctifs actuellement associés au référentiel de correctifs spécifié (Windows uniquement) |
Lecture |
|||
Accorde l'autorisation d'afficher le statut des associations pour une instance spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher les détails d'une instance spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher les détails de l'état des correctifs sur une instance spécifiée |
Lecture |
|||
Accorde l'autorisation de décrire l'état du correctif de haut niveau pour les instances du groupe de correctifs spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher des détails généraux concernant les correctifs sur une instance spécifiée |
Lecture |
|||
Accorde l'autorisation à la console Amazon EC2 de l'utilisateur de rendre les nœuds des instances gérées |
Lecture |
|||
Accorde l'autorisation d'afficher les détails d'une suppression d'inventaire spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher les détails d'une exécution de tâche spécifiée pour une fenêtre de maintenance |
Liste |
|||
Accorde l'autorisation d'afficher des détails sur les tâches exécutées pendant l'exécution d'une fenêtre de maintenance spécifiée |
Liste |
|||
Accorde l'autorisation d'afficher les exécutions d'une fenêtre de maintenance spécifiée |
List |
|||
Accorde l'autorisation d'afficher des détails sur les exécutions à venir d'une fenêtre de maintenance spécifiée |
Liste |
|||
Accorde l'autorisation d'afficher une liste des cibles associées à une fenêtre de maintenance spécifiée |
List |
|||
Accorde l'autorisation d'afficher une liste des tâches associées à une fenêtre de maintenance spécifiée |
List |
|||
Accorde l'autorisation d'afficher des informations sur l'ensemble des fenêtres de maintenance ou sur certaines |
Liste |
|||
Accorde l'autorisation d'afficher des informations sur les cibles de la fenêtre de maintenance et les tâches associées à une instance spécifiée |
List |
|||
Accorde l'autorisation d'afficher les détails relatifs à un élément spécifié OpsItems |
Lecture |
|||
Accorde l'autorisation d'afficher des détails sur un paramètre SSM spécifié |
Liste |
|||
Accorde l'autorisation d'afficher des informations sur les référentiels de correctifs répondant aux critères spécifiés |
Liste |
|||
Accorde l'autorisation d'afficher des détails sur l'état agrégé des correctifs pour un groupe de correctifs spécifié |
List |
|||
Accorde l'autorisation d'afficher des informations sur le référentiel de correctifs pour un groupe de correctifs spécifié |
Liste |
|||
Accorde l'autorisation d'afficher des détails sur des correctifs disponibles pour un système d'exploitation et une propriété de correctif spécifiés |
Liste |
|||
Accorde l'autorisation d'afficher une liste des sessions récentes du Gestionnaire de session qui répondent aux critères de recherche spécifiés |
List |
|||
Accorde l'autorisation de se dissocier RelatedItem d'un OpsItem |
Écrire |
|||
Accorde à un administrateur délégué de Systems Manager l'autorisation de consulter les informations relatives aux ressources associées OpsItems sur plusieurs AWS comptes dans Console de gestion AWS |
Lecture |
|||
Accorde l'autorisation de renvoyer un ensemble d'informations d'identification à utiliser avec un accès au nœud juste à temps |
Lecture |
|||
Accorde l'autorisation d'afficher les détails d'une exécution d'Automation spécifiée |
Lecture |
|||
Autorisation d'afficher l'état d'un calendrier de modifications ou d'une liste de calendriers de modifications |
Lecture |
|||
Accorde l'autorisation d'afficher les détails d'un connecteur cloud spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher des détails sur l'exécution de la commande d'une invocation ou d'un plugin spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher l'état de la connexion au Gestionnaire de session pour une instance gérée spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher le référentiel de correctifs par défaut actuel pour un type de système d'exploitation spécifié |
Lecture |
|||
Accorde l'autorisation de récupérer l'instantané de référentiel de correctifs actuel pour une instance spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher le contenu d'un document SSM spécifié |
Lecture |
|||
Accorde l'autorisation de récupérer un aperçu existant qui montre les effets que l'exécution d'un runbook d'automatisation spécifié aurait sur les ressources ciblées |
Lecture |
|||
Accorde l'autorisation d'afficher les détails de l'inventaire de l'instance selon les critères spécifiés |
Lecture |
|||
Accorde l'autorisation d'afficher une liste de types d'inventaire ou de noms d'attributs pour un type d'article stocké spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher des détails sur une fenêtre de maintenance spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher des détails sur l'exécution d'une fenêtre de maintenance spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher des détails sur une tâche d'exécution de fenêtre de maintenance spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher des détails sur une tâche de fenêtre de maintenance spécifique s'exécutant sur une cible spécifique |
Lecture |
|||
Accorde l'autorisation d'afficher des détails sur les tâches enregistrées avec une fenêtre de maintenance spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher les informations relatives à un élément spécifié OpsItem |
Lecture |
|||
Accorde l'autorisation de récupérer un OpsMetadata objet |
Lecture |
|||
Autorise l'affichage des informations récapitulatives sur la OpsItems base de filtres et d'agrégateurs spécifiés |
Lecture |
|||
Accorde l'autorisation d'afficher des informations sur un paramètre spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher les détails et les modifications d'un paramètre spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher des informations sur plusieurs paramètres spécifiés |
Lecture |
|||
Accorde l'autorisation d'afficher des informations sur les paramètres d'une hiérarchie spécifiée |
Lecture |
|||
Accorde l'autorisation d'afficher des informations sur un référentiel de correctifs spécifié |
Lecture |
|||
Accorde l'autorisation d'afficher l'ID du référentiel de correctifs actuel pour un groupe de correctifs spécifié |
Lecture |
|||
Accorde l'autorisation de récupérer les listes des politiques de ressources de Systems Manager |
List |
|||
Accorde l'autorisation de consulter le paramètre au niveau du compte pour un service AWS |
Lecture |
|||
Accorde l'autorisation d'appliquer une étiquette d'identification à une version spécifiée d'un paramètre |
Écrire |
|||
Accorde l'autorisation de répertorier les versions de l'association spécifiée |
List |
|||
Accorde l'autorisation de répertorier les associations pour un document SSM spécifié ou une instance gérée |
List |
|||
Accorde l'autorisation de répertorier les connecteurs cloud dans votre compte |
List |
|||
Accorde l'autorisation de répertorier des informations sur les appels de commandes envoyés à une instance spécifiée |
List |
|||
Accorde l'autorisation de répertorier les commandes envoyées à une instance spécifiée |
List |
|||
Accorde l'autorisation de répertorier l'état de conformité pour les types de ressources spécifiés sur une ressource spécifiée |
Liste |
|||
Accorde l'autorisation de répertorier un récapitulatif du nombre de ressources conformes et non conformes pour un type de conformité spécifié |
Liste |
|||
Accorde l'autorisation d'afficher l'historique des métadonnées d'un document SSM spécifié |
List |
|||
Accorde l'autorisation de répertorier toutes les versions d'un document spécifié |
List |
|||
Accorde l'autorisation d'afficher des informations sur un document SSM spécifié |
List |
|||
Accorde l'autorisation à SSM Agent de rechercher de nouvelles associations du State Manager (appel interne de Systems Manager) |
List |
|||
Accorde l'autorisation d'afficher une liste de types d'inventaire spécifiés pour une instance spécifiée |
List |
|||
Accorde l'autorisation d'afficher les détails sur les nœuds gérés en fonction de filtres spécifiés |
List |
|||
Accorde l'autorisation d'afficher des informations récapitulatives sur les nœuds gérés en fonction de filtres et d'agrégateurs spécifiés |
List |
|||
Accorde l'autorisation de consulter les détails sur OpsItemEvents |
List |
|||
Accorde l'autorisation de consulter les détails sur OpsItem RelatedItems |
List |
|||
Autorise l'affichage d'une liste d' OpsMetadata objets |
List |
|||
Accorde l'autorisation de répertorier un récapitulatif du nombre au niveau des ressources |
Liste |
|||
Accorde l'autorisation de répertorier des informations sur les configurations de synchronisation des données de ressource dans un compte |
List |
|||
Accorde l'autorisation d'afficher une liste d'identifications de ressources pour une ressource spécifiée |
List |
|||
Autorise le partage public ou privé d'un document SSM personnalisé avec des comptes spécifiques AWS |
Gestion des autorisations, écriture |
|||
Accorde l'autorisation d'enregistrer un type de conformité et d'autres détails de conformité sur une ressource spécifiée |
Écrire |
|||
Accorde l'autorisation d'ajouter ou de mettre à jour des articles d'inventaire sur plusieurs instances gérées spécifiées |
Écrire |
|||
Accorde l'autorisation de créer un paramètre SSM |
était : RequestTag /$ {} TagKey |
Écrire |
||
Accorde l'autorisation de créer ou de mettre à jour une politique de ressource de Systems Manager |
Gestion des autorisations, écriture |
|||
Accorde l'autorisation d'indiquer le référentiel de correctifs par défaut pour un type de système d'exploitation |
Écrire |
|||
Accorde l'autorisation d'enregistrer un Systems Manager Agent |
Écrire |
|||
Accorde l'autorisation d'indiquer le référentiel de correctifs par défaut pour un groupe de correctifs spécifié |
Écrire |
|||
Accorde l'autorisation d'enregistrer une cible avec une fenêtre de maintenance spécifiée |
Écrire |
|||
Accorde l'autorisation d'enregistrer une tâche avec une fenêtre de maintenance spécifiée |
Écrire |
|||
Accorde l'autorisation de supprimer une clé d'identification spécifiée d'une ressource spécifiée |
Marquage, écriture |
|||
Accorde l'autorisation de réinitialiser le paramètre de service pour an Compte AWS à la valeur par défaut |
Écrire |
|||
Accorde l'autorisation de reconnecter une session du Gestionnaire de session à une instance gérée |
Écrire |
|||
Accorde l'autorisation d'envoyer un signal pour modifier le comportement ou l'état actuel d'une exécution d'automatisation spécifiée |
Écrire |
|||
Accorde l'autorisation d'exécuter des commandes sur une ou plusieurs instances gérées spécifiées |
Écrire |
|||
Accorde l'autorisation de démarrer le flux de travail pour les sessions d'accès aux nœuds juste à temps |
était : RequestTag /$ {} TagKey |
Écrire |
||
|
était : RequestTag /$ {} TagKey |
||||
Accorde l'autorisation d'exécuter manuellement une association spécifiée |
Écrire |
|||
Accorde l'autorisation de lancer l'exécution d'un document d'automatisation |
était : RequestTag /$ {} TagKey |
Écrire |
||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
Accorde l'autorisation de lancer un document Automation Change Template |
était : RequestTag /$ {} TagKey |
Écrire |
||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
Accorde l'autorisation de créer un aperçu montrant les effets que l'exécution d'un runbook d'automatisation spécifié aurait sur les ressources ciblées |
Lecture |
|||
Accorde l'autorisation d'initier une connexion à une cible spécifiée pour une session du Gestionnaire de session |
Écrire |
|||
Accorde l'autorisation d'arrêter une exécution d'automatisation spécifiée déjà en cours |
Écrire |
|||
Accorde l'autorisation de mettre définitivement fin à une connexion du Gestionnaire de session à une instance |
Écrire |
|||
Accorde l'autorisation de supprimer une étiquette d'identification d'une version spécifiée d'un paramètre |
Écrire |
|||
Accorde l'autorisation de mettre à jour une association et d'exécuter immédiatement l'association sur les cibles spécifiées |
Écrire |
|||
Accorde l'autorisation de mettre à jour l'état du document SSM associé à une instance spécifiée |
Écrire |
|||
Autorise la mise à jour d'un connecteur cloud spécifié |
Écrire |
|||
Accorde l'autorisation de mettre à jour une ou plusieurs valeurs pour un document SSM |
Écrire |
|||
Accorde l'autorisation de modifier la version par défaut d'un document SSM |
Écrire |
|||
Accorde l'autorisation de mettre à jour les métadonnées d'un document SSM |
Écrire |
|||
Accorde l'autorisation à SSM Agent d'envoyer un signal de pulsation au service Systems Manager dans le cloud |
Écrire |
|||
Accorde l'autorisation de mettre à jour une fenêtre de maintenance spécifiée |
Écrire |
|||
Accorde l'autorisation de mettre à jour une cible de fenêtre de maintenance spécifiée |
Écrire |
|||
Accorde l'autorisation de mettre à jour une tâche de fenêtre de maintenance spécifiée |
Écrire |
|||
Accorde l'autorisation d'affecter ou de modifier le rôle IAM attribué à une instance gérée spécifiée |
Écrire |
|||
Accorde l'autorisation de modifier ou de modifier un OpsItem |
Écrire |
|||
Accorde l'autorisation de mettre à jour un OpsMetadata objet |
Écrire |
|||
Accorde l'autorisation de mettre à jour un référentiel de correctifs spécifié |
Écrire |
|||
Accorde l'autorisation de mettre à jour une synchronisation de définition de ressource. |
Écrire |
|||
Accorde l'autorisation de mettre à jour le paramètre de service pour un Compte AWS |
Écrire |
|||
Accorde l'autorisation de vérifier qu'un connecteur cloud spécifié fonctionne correctement et de récupérer les résultats de validation ou les problèmes détectés |
Lecture |
Permission-only actions pour AWS Systems Manager
Les actions suivantes sont définies par AWS Systems Manager mais ne sont pas directement invocables par le biais d'une opération d'API. Ils ne peuvent être utilisés dans les déclarations de politique IAM que pour accorder ou refuser des autorisations.
| Actions | Description | Types de ressources (*obligatoire) | Clés de condition | Niveau d’accès |
|---|---|---|---|---|
Accorde l'autorisation de visualiser les détails d'un calendrier spécifique |
Lecture |
|||
Accorde l'autorisation à Systems Manager et SSM Agent de déterminer les exigences d'installation du package pour une instance (appel interne de Systems Manager) |
Lecture |
|||
Accorde l'autorisation à create/edit un calendrier spécifique |
Écrire |
|||
Accorde l'autorisation à SSM Agent de générer un rapport des résultats de requêtes d'agent spécifiques (appel interne de Systems Manager) |
Lecture |
|||
Autorise l'agent SSM à récupérer des informations d'identification temporaires pour accéder au nœud géré (appel interne de Systems Manager) |
Écrire |
|||
Accorde l'autorisation à SSM Agent de mettre à jour le statut de l'association en cours d'exécution (appel interne de Systems Manager) |
Écrire |
|||
Autorise l'agent SSM à mettre à jour la clé publique du nœud géré après la rotation de la paire de clés (appel interne de Systems Manager) |
Écrire |
|||
Types de ressources définis par AWS Systems Manager
Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM.
| Types de ressources | ARN | Clés de condition |
|---|---|---|
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :association/$ {} AssociationId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :automation-definition/$ {} :$ {} AutomationDefinitionName VersionId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :automation-execution/$ {} AutomationExecutionId |
||
arn : $ {Partition} :s3 : ::$ {} BucketName |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :cloud-connector/$ {} CloudConnectorId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :document/$ {} DocumentName |
||
arn : $ {Partition} :iam : :$ {Account} :role/$ {} RoleName |
||
arn : $ {Partition} :ec2 : $ {Region} :$ {Account} :instance/$ {} InstanceId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :maintenancewindow/$ {} ResourceId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :instance/$ {} InstanceId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :managed-instance-inventory/$ {} InstanceId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :opsitem/$ {} ResourceId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Compte} : opsitemgroup/default |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :opsmetadata/$ {} ResourceId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :paramètre/$ {} ParameterNameWithoutLeadingSlash |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :patchbaseline/$ {} PatchBaselineIdResourceId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :resource-data-sync/$ {} SyncName |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :serviceetting/$ {} ResourceId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :session/$ {} SessionId |
||
arn : $ {Partition} :ecs : $ {Region} :$ {Account} :tâche/$ {} TaskId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :windowtarget/$ {} WindowTargetId |
||
arn : $ {Partition} :ssm : $ {Region} :$ {Account} :windowtask/$ {} WindowTaskId |
Clés de condition pour AWS Systems Manager
AWS Systems Manager définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM.
| Clés de condition | Description | Type |
|---|---|---|
Filtre l'accès en fonction des requêtes « Créer » basées sur l'ensemble de valeurs autorisé pour chacune des identifications |
Chaîne |
|
Filtre l'accès en fonction d'une paire clé-valeur de balise attribuée à la ressource AWS |
Chaîne |
|
Filtre l'accès en fonction des requêtes « Créer » selon que des identifications obligatoires sont incluses dans la requête |
ArrayOfString |
|
Filtre l'accès en fonction de l'ARN de l'instance à l'origine de la demande. |
ARN |
|
Filtre l'accès en vérifiant qu'un utilisateur a accès à l'ID de demande d'accès spécifié dans la demande |
Chaîne |
|
Filtre l'accès en vérifiant qu'un utilisateur a l'autorisation de lancer les flux de Change Manager sans étape de révision (à l'exception des événements de gel des changements) |
Booléen |
|
Filtre l'accès en vérifiant qu'un utilisateur a l'autorisation d'accéder à un document appartenant à une énumération de catégorie spécifique |
ArrayOfString |
|
Filtre l'accès en vérifiant que l'utilisateur est autorisé à accéder à un document appartenant à un type de document spécifique. Disponible uniquement dans les partitions « aws », « aws-cn » et « aws-us-gov » |
Chaîne |
|
Filtre l'accès en vérifiant qu'un utilisateur est autorisé à accéder à une version spécifique d'un document |
ArrayOfString |
|
Filtre l'accès en vérifiant qu'un utilisateur a également accès aux informations InventoryType spécifiées dans la demande |
ArrayOfString |
|
Filtre l'accès en fonction de l' Compte AWS ID associé au nœud géré à l'origine de la demande. Disponible uniquement dans les politiques de point de terminaison VPC et les politiques de contrôle des services (SCP) |
Chaîne |
|
Filtre l'accès en fonction de l'identifiant AWS Organizations associé au nœud géré à l'origine de la demande. Disponible uniquement dans les politiques de point de terminaison VPC et les politiques de contrôle des services (SCP) |
Chaîne |
|
Filtre l'accès en contrôlant si les paramètres de Systems Manager peuvent être écrasés |
Chaîne |
|
Filtre l'accès en contrôlant si une entité IAM (utilisateur ou rôle) peut créer ou mettre à jour un paramètre qui inclut une politique de paramètres |
Chaîne |
|
Filtre l'accès en fonction des paramètres de Systems Manager créés dans une structure hiérarchique |
Chaîne |
|
Filtre l'accès en vérifiant qu'un utilisateur est autorisé à accéder au document de configuration par défaut du Gestionnaire de session ou au document de configuration personnalisé spécifié dans une demande |
Booléen |
|
Filtre l'accès en vérifiant le nom de ressource Amazon (ARN) de l'instance gérée par le responsable des AWS systèmes à partir de laquelle la demande est faite. Cette clé n'est pas présente uniquement si la demande provient de l'instance gérée authentifiée avec un rôle IAM associé à un profil d'instance EC2 |
ARN |
|
Filtre l'accès en vérifiant qu'un utilisateur a également accès aux informations ResourceDataSync SyncType spécifiées dans la demande |
Chaîne |
|
Filtre l'accès en fonction d'une paire clé-valeur de balise affectée à la ressource Systems Manager |
Chaîne |
|
Filtre l'accès en fonction d'une paire clé-valeur de balise affectée à la ressource de session Systems Manager. |
Chaîne |
|
Filtre l'accès en fonction d'une paire clé-valeur de balise affectée à la ressource de session Systems Manager. |
Chaîne |
|
Filtre l'accès en fonction d'une paire clé-valeur d'identification affectée à la ressource Systems Manager |
Chaîne |
