View a markdown version of this page

Partage de documents SSM - AWS Systems Manager
Bonnes pratiques pour les documents SSM partagésBloquer le partage public de documents SSMPartagez un document SSM à l'aide de AWS RAMPartager un document SSM à l'aide des autorisations du compteUtilisation de documents SSM partagés

• Le AWS Systems Manager CloudWatch tableau de bord ne sera plus disponible après le 30 avril 2026. Les clients peuvent continuer à utiliser CloudWatch la console Amazon pour consulter, créer et gérer leurs CloudWatch tableaux de bord Amazon, comme ils le font aujourd'hui. Pour plus d'informations, consultez la documentation Amazon CloudWatch Dashboard.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Partage de documents SSM

Vous pouvez partager des documents AWS Systems Manager (SSM) avec d'autres comptes de la même manière et de deux Région AWS manières. Pour le partage de nouveaux documents, nous vous recommandons d'utiliser AWS Resource Access Manager (AWS RAM). Avec AWS RAM, vous pouvez partager un document avec l'ensemble d'une organisation ou d'une unité organisationnelle (UO) dans AWS Organisations, ou avec un individu Comptes AWS. Vous pouvez également gérer tous vos partages depuis la console AWS RAM. Pour plus d’informations, consultez Partagez un document SSM à l'aide de AWS RAM.

Vous pouvez également partager un document en utilisant les autorisations du compte, le mécanisme de partage original. Avec les autorisations de compte, vous modifiez directement les autorisations relatives aux documents pour partager un document en privé avec des Compte AWS identifiants spécifiques ou en public avec tout le monde. Account-permission le partage reste pris en charge. Pour plus d’informations, consultez Partager un document SSM à l'aide des autorisations du compte.

Si vous partagez déjà des documents à l'aide des autorisations de compte, vous pouvez migrer ces partages vers la AWS RAM. Pour plus d’informations, consultez Migrer un document partagé existant vers AWS RAM.

Vous ne pouvez pas partager un document en public et en privé à la fois. Vous ne pouvez pas non plus utiliser le partage de AWS RAM et le partage d'autorisations de compte (ModifyDocumentPermission) sur le même document en même temps.

Avertissement

N'utilisez que des documents SSM partagés provenant de sources fiables. Lorsque vous utilisez un document partagé, étudiez soigneusement son contenu avant de l'utiliser afin de comprendre comment il va modifier la configuration de votre instance. Pour plus d'informations sur les bonnes pratiques en matière de documents partagés, consultez Bonnes pratiques pour les documents SSM partagés.

Limitations

Lorsque vous commencez à utiliser les documents SSM, vous devez connaître les limitations suivantes.

  • Seul le propriétaire peut partager un document.

  • Les documents peuvent être partagés avec d'autres comptes Région AWS uniquement sur le même compte. Cross-Region le partage n'est pas pris en charge.

Important

Dans Systems Manager, un document Amazon-owned SSM est un document créé et géré par Amazon Web Services lui-même. Amazon-ownedles documents incluent un préfixe comme AWS-* dans le nom du document. Le propriétaire du document est considéré comme étant Amazon, et non comme un compte utilisateur spécifique au sein de celui-ci AWS. Ces documents sont accessibles à tous.

Bonnes pratiques pour les documents SSM partagés

Passez en revue les consignes suivantes avant de partager un document ou d'utiliser un document partagé.

Utiliser la AWS RAM pour partager des documents (recommandé)

Pour le partage de nouveaux documents, nous vous recommandons d'utiliser AWS Resource Access Manager (AWS RAM) au lieu de l'opération ModifyDocumentPermission API. Lorsque vous partagez via la AWS RAM, vous pouvez partager un document avec l'ensemble d'une organisation ou d'une unité organisationnelle (OU) dans AWS Organisations au lieu de répertorier des Compte AWS identifiants individuels. Vous pouvez également gérer l'accès à l'aide d'une politique basée sur les ressources, et consulter et auditer tous vos partages en un seul endroit dans la console AWS RAM. Pour les étapes, consultez Partagez un document SSM à l'aide de AWS RAM. Les documents que vous partagez avec des Compte AWS identifiants individuels en utilisant ModifyDocumentPermission sont toujours pris en charge. Pour déplacer un document que vous partagez déjà vers la AWS RAM, consultezMigrer un document partagé existant vers AWS RAM.

Supprimer les informations sensibles

Lisez attentivement votre document AWS Systems Manager (SSM) et supprimez toute information sensible. Par exemple, vérifiez que le document n'inclut pas vos AWS informations d'identification. Si vous partagez un document avec des personnes spécifiques, ces personnes peuvent voir les informations contenues dans le document. Si vous partagez un document publiquement, tout le monde peut voir les informations contenues dans le document.

Bloquer le partage public de documents

Examinez tous les documents SSM partagés publiquement dans votre compte et confirmez si vous voulez continuer à les partager. Pour arrêter de partager un document avec le public, vous devez modifier le paramètre d’autorisation du document comme décrit dans la section Modification des autorisations d'un document SSM partagé de cette rubrique. L’activation du paramètre de blocage du partage public n’affecte pas les documents que vous partagez actuellement avec le public. À moins que votre cas d’utilisation n’exige que vous partagiez des documents avec le public, nous vous recommandons d’activer le paramètre de blocage du partage public pour vos documents SSM dans la section Préférences de la console Documents Systems Manager. L'activation de ce paramètre empêche l'accès non souhaité à vos documents SSM. Le paramètre de blocage du partage public est un paramètre de niveau compte qui peut varier selon la Région AWS.

Limiter les actions Run Command à l'aide d'une politique d'approbation IAM

Créez une politique restrictive Gestion des identités et des accès AWS (IAM) pour les utilisateurs qui auront accès au document. La politique IAM détermine les documents SSM qu'un utilisateur peut consulter soit dans la console Amazon Elastic Compute Cloud (Amazon EC2), soit en appelant à ListDocuments l'aide du AWS Command Line Interface (AWS CLI) ou. AWS Tools for Windows PowerShell La politique limite également les actions que l'utilisateur peut effectuer avec un document SSM. Vous pouvez créer une politique restrictive pour qu'un utilisateur ne puisse utiliser que des documents spécifiques. Pour plus d’informations, consultez Exemples de politiques gérées par le client.

Faites preuve de prudence lors de l'utilisation de documents SSM partagés

Étudiez le contenu de chaque document partagé avec vous, notamment des documents publics, afin de comprendre les commandes qui seront exécutées sur vos instances. Un document pourrait avoir, volontairement ou non, des répercussions négatives après son exécution. Si le document fait référence à un réseau externe, étudiez la source externe avant d'utiliser ce document.

Envoyer les commandes en utilisant le hachage de document

Lorsque vous partagez un document, le système crée un Sha-256 hachage et l'attribue au document. Le système enregistre également un instantané du contenu du document. Lorsque vous envoyez une commande à l'aide d'un document partagé, vous pouvez spécifier le hachage dans votre commande pour vous assurer que les conditions suivantes sont remplies :

  • Vous exécutez la commande à partir du document Systems Manager approprié

  • Le contenu du document n'a pas changé depuis qu'il a été partagé avec vous.

Si le hachage ne correspond pas au document spécifié ou si le contenu du document partagé a changé, la commande renvoie une exception InvalidDocument. Le hachage ne peut pas vérifier le contenu du document à partir d'emplacements externes.

Utiliser le paramètre d’interpolation pour améliorer la sécurité

Pour les paramètres de type String dans vos documents SSM, utilisez le paramètre et la valeur interpolationType": "ENV_VAR pour améliorer la sécurité contre les attaques par injection de commandes en traitant les entrées de paramètres comme des chaînes littérales plutôt que comme des commandes potentiellement exécutables. Dans ce cas, l’agent crée une variable d’environnement nommée SSM_parameter-name avec la valeur du paramètre. Nous vous recommandons de mettre à jour tous vos documents SSM existants qui incluent des paramètres de type String pour inclure "interpolationType": "ENV_VAR". Pour plus d’informations, consultez Rédaction du contenu du document SSM.

Bloquer le partage public de documents SSM

Avant de commencer, examinez tous les documents SSM partagés publiquement dans votre Compte AWS et confirmez si vous voulez continuer à les partager. Pour arrêter de partager un document SSM avec le public, vous devez modifier le paramètre d’autorisation du document comme décrit dans la section Modification des autorisations d'un document SSM partagé de cette rubrique. L’activation du paramètre de blocage du partage public n’affecte pas les documents SSM que vous partagez actuellement avec le public. Lorsque le paramètre de blocage du partage public est activé, vous ne pouvez plus partager de documents SSM avec le public.

À moins que votre cas d’utilisation n’exige que vous partagiez des documents avec le public, nous vous recommandons d’activer le paramètre de blocage du partage public pour vos documents SSM. L'activation de ce paramètre empêche l'accès non souhaité à vos documents SSM. Le paramètre de partage public par blocs est un paramètre au niveau du compte qui peut varier d'un compte à l'autre Région AWS. Effectuez les tâches suivantes pour bloquer le partage public de tous les documents SSM que vous ne partagez pas actuellement.

Bloquer le partage public (console)

Pour bloquer le partage public de vos documents SSM

  1. Ouvrez la AWS Systems Manager console à l'adresse https://console.aws.amazon.com/systems-manager/.

  2. Dans le panneau de navigation, cliquez sur Documents.

  3. Sélectionnez Preferences (Préférences), puis Edit (Modifier) dans la section Block public sharing (Bloquer le partage public).

  4. Cochez la case Block public sharing (Bloquer le partage public), puis sélectionnez Save (Enregistrer).

Bloquer le partage public (ligne de commande)

Ouvrez le AWS Command Line Interface (AWS CLI) ou AWS Tools for Windows PowerShell sur votre ordinateur local et exécutez la commande suivante pour bloquer le partage public de vos documents SSM.

Linux & macOS
aws ssm update-service-setting  \
    --setting-id /ssm/documents/console/public-sharing-permission \
    --setting-value Disable \
    --region 'The Région AWS you want to block public sharing in'
Windows
aws ssm update-service-setting ^
    --setting-id /ssm/documents/console/public-sharing-permission ^
    --setting-value Disable ^
    --region "The Région AWS you want to block public sharing in"
PowerShell
Update-SSMServiceSetting `
    -SettingId /ssm/documents/console/public-sharing-permission `
    -SettingValue Disable `
    –Region The Région AWS you want to block public sharing in

Confirmez que la valeur du paramètre a été mise à jour en utilisant la commande suivante.

Linux & macOS
aws ssm get-service-setting   \
    --setting-id /ssm/documents/console/public-sharing-permission \
    --region The Région AWS you blocked public sharing in
Windows
aws ssm get-service-setting  ^
    --setting-id /ssm/documents/console/public-sharing-permission ^
    --region "The Région AWS you blocked public sharing in"
PowerShell
Get-SSMServiceSetting `
    -SettingId /ssm/documents/console/public-sharing-permission `
    -Region The Région AWS you blocked public sharing in

Restreindre l'accès pour bloquer le partage public avec IAM

Vous pouvez créer des politiques Gestion des identités et des accès AWS (IAM) qui empêchent les utilisateurs de modifier le paramètre de blocage du partage public. Cela empêche les utilisateurs d'autoriser l'accès non souhaité à vos documents SSM.

Voici un exemple de politique IAM qui empêche les utilisateurs de mettre à jour le paramètre de blocage du partage public. Pour utiliser cet exemple, vous devez remplacer l'exemple d'ID de compte Amazon Web Services par votre propre ID de compte.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:UpdateServiceSetting",
            "Resource": "arn:aws:ssm:*:444455556666:servicesetting/ssm/documents/console/public-sharing-permission"
        }
    ]
}

Partagez un document SSM à l'aide de AWS RAM

AWS Le gestionnaire d'accès aux ressources (AWS RAM) est la méthode recommandée pour partager des documents AWS Systems Manager (SSM). Avec AWS RAM, vous créez un partage de ressources qui donne accès à votre document et vous gérez tous vos partages depuis la console AWS RAM. Vous pouvez partager un document SSM avec les trois types de responsables suivants :

  • Toute une organisation en AWS organisations.

  • Une unité organisationnelle (OU) dans AWS les organisations.

  • Individuel Comptes AWS.

Vous ne pouvez partager un document qu'avec les comptes du même compte Région AWS, et seul le propriétaire du document peut partager un document. Pour plus d'informations sur le partage avec la AWS RAM, consultez la section Premiers pas avec la AWS RAM dans le guide de l'utilisateur du AWS Resource Access Manager.

Important

Lorsque vous partagez un document SSM à l'aide de la AWS RAM, vous partagez toutes les versions du document, pas seulement la version par défaut.

Note

AWS La RAM ne prend en charge que le partage privé. Pour partager un document publiquement, utilisez Partager un document SSM à l'aide des autorisations du compte plutôt la procédure dans.

Note

Lorsque vous partagez un document avec une personne Compte AWS extérieure à votre organisation, le consommateur doit accepter l'invitation de partage de ressources dans la AWS RAM pour pouvoir accéder au document. Lorsque vous partagez au sein d'une organisation pour laquelle le partage de AWS RAM est activé, aucune invitation n'est requise et AWS RAM accorde l'accès automatiquement.

AWS Les quotas de service RAM s'appliquent lorsque vous partagez des documents SSM via AWS RAM. Pour plus d'informations, consultez la section Quotas de service pour la AWS RAM dans le guide de l'utilisateur du AWS Resource Access Manager.

Pour gérer un partage existant (par exemple, pour mettre à jour les principaux ou arrêter de partager un document que vous avez partagé via la AWS RAM), consultez la section Utilisation de AWS ressources partagées dans le Guide de l'utilisateur du AWS Resource Access Manager.

Partagez un document à l'aide de AWS RAM (console)

Pour partager un document à l'aide de AWS RAM

  1. Ouvrez la console AWS RAM à l'adresse https://console.aws.amazon.com/ram/.

  2. Dans le volet de navigation, choisissez Partage de ressources, puis sélectionnez Créer un partage de ressources.

  3. Dans le champ Nom, entrez le nom du partage de ressources.

  4. Sous Ressources, choisissez le type de ressource Documents SSM, puis sélectionnez le document que vous souhaitez partager.

  5. (Facultatif) Sous Autorisations gérées, vérifiez l'autorisation gérée que AWS RAM applique au document partagé.

  6. Choisissez Suivant. Sous Principaux, ajoutez l'organisation, les unités d'organisation ou avec Comptes AWS lesquelles vous souhaitez partager. Pour partager avec votre organisation ou une unité d'organisation, vous devez activer le partage au sein AWS des organisations.

  7. Choisissez Suivant, passez en revue vos choix, puis choisissez Créer un partage de ressources.

Partagez un document à l'aide de AWS RAM (ligne de commande)

Ouvrez le AWS Command Line Interface (AWS CLI) ou AWS Tools for Windows PowerShell sur votre ordinateur local et exécutez la commande suivante pour partager un document en créant un partage de ressources AWS RAM. Pour le --principals paramètre, spécifiez un ARN d'organisation, un ARN OU ou un Compte AWS ID.

Linux & macOS
aws ram create-resource-share \
    --name MyDocumentShare \
    --resource-arns arn:aws:ssm:region:account-id:document/document-name \
    --principals principal
Windows
aws ram create-resource-share ^
    --name MyDocumentShare ^
    --resource-arns arn:aws:ssm:region:account-id:document/document-name ^
    --principals principal
Note

Une fois que vous avez créé un partage, la AWS RAM peut mettre quelques minutes à propager la modification avant que les comptes utilisateurs ne puissent la voir.

Migrer un document partagé existant vers AWS RAM

Si vous partagez actuellement un document à l'aide des autorisations de compte (opération ModifyDocumentPermission API), vous pouvez le migrer vers un partage de ressources AWS RAM en exécutant le AWS-MigrateSSMDocumentSharingToRAM runbook. Ce runbook AWS Systems Manager Automation, AWS propriété de ce logiciel, fait migrer un document d'un partage d'autorisations de compte vers un partage de ressources AWS RAM tout en préservant les utilisateurs existants du document.

Note

L'exécution du AWS-MigrateSSMDocumentSharingToRAM runbook utilise AWS Systems Manager l'automatisation, qui entraîne des frais. Pour en savoir plus, consultez Pricing AWS Systems Manager (Tarification).

Note

Vous ne pouvez pas migrer un document partagé publiquement, car la AWS RAM ne prend en charge que le partage privé. Si vous spécifiez un document partagé publiquement, le runbook échoue. Si vous migrez tous les documents du compte, le runbook ignore les documents partagés publiquement. Pour migrer un document partagé publiquement, arrêtez tout d'abord de le partager publiquement, puis partagez-le avec les comptes, les unités organisationnelles (UO) ou l'organisation de votre choix.

Important

Après avoir migré un document, vous gérez le partage de ce document via la AWS RAM. Les opérations DescribeDocumentPermission d'API ModifyDocumentPermission et renvoient une erreur 4xx pour un document migré. Si la migration échoue ou est annulée, le runbook annule automatiquement la modification.

Pour migrer un document depuis sa vue Autorisations (console)

  1. Ouvrez la AWS Systems Manager console et, dans le volet de navigation, choisissez Documents.

  2. Choisissez le document que vous souhaitez migrer.

  3. Cliquez sur l’onglet Détails.

  4. Dans la section Autorisations, choisissez Migrer vers la RAM. Systems Manager ouvre la page Migrer vers la RAM, qui vous permet de démarrer la migration.

  5. Pour les documents à migrer, sélectionnez les documents à migrer. Sélectionnez des documents individuels ou choisissez Tous les documents pour migrer tous les documents du compte qui utilise le partage des autorisations de compte.

  6. Pour AutomationAssumeRole, choisissez le rôle IAM que Systems Manager Automation assume pour exécuter la migration.

  7. (Facultatif) Pour les unités organisationnelles, ajoutez un ID d'organisation ou un ID d'unité d'organisation (OU) avec lequel partager les documents.

  8. Choisissez Commencer la migration.

Pour obtenir la liste complète des paramètres, les autorisations IAM requises pour le AutomationAssumeRole rôle et les instructions détaillées pour exécuter le runbook, consultez AWS-MigrateSSMDocumentSharingToRAM la référence du runbook AWS Systems Manager Automation.

Partager un document SSM à l'aide des autorisations du compte

Vous pouvez partager des documents AWS Systems Manager (SSM) en modifiant les autorisations des documents pour accorder l'accès à des Compte AWS identifiants spécifiques (partage privé) ou à tout le monde (partage public). Vous pouvez partager des documents depuis la console Systems Manager ou par programmation en appelant l'opération d'ModifyDocumentPermissionAPI à l'aide du AWS Command Line Interface (AWS CLI) ou du AWS SDK. AWS Tools for Windows PowerShell Lorsque vous partagez des documents depuis la console, vous ne pouvez partager que la version par défaut du document. Avant de partager un document, obtenez les Compte AWS identifiants des comptes avec lesquels vous souhaitez le partager. Spécifiez ces identifiants de compte lorsque vous partagez le document.

Note

Pour le partage de nouveaux documents, nous vous recommandons d'utiliser le Gestionnaire d'accès aux AWS ressources (AWS RAM) à la place. Avec AWS RAM, vous pouvez partager avec l'ensemble d'une organisation ou d'une unité d'organisation et gérer tous vos partages en un seul endroit. Pour plus d’informations, consultez Partagez un document SSM à l'aide de AWS RAM.

Limitations

Tenez compte des limites suivantes lorsque vous partagez un document à l'aide des autorisations du compte.

  • Vous devez arrêter le partage d'un document pour pouvoir le supprimer. Pour plus d’informations, consultez Modification des autorisations d'un document SSM partagé.

  • Vous pouvez partager un document avec un maximum de 1 000 personnes Comptes AWS. Vous pouvez demander que cette limite soit augmentée dans le Centre Support. Pour Limit type (Type de limite), sélectionnez EC2 Systems Manager et décrivez le motif de votre demande.

  • Vous pouvez partager publiquement cinq documents SSM au maximum. Vous pouvez demander que cette limite soit augmentée dans le Centre Support. Pour Limit type (Type de limite), sélectionnez EC2 Systems Manager et décrivez le motif de votre demande.

Pour plus d'informations sur les quotas de service Systems Manager, consultez Service Quotas AWS Systems Manager.

Partager un document (console)

  1. Ouvrez la AWS Systems Manager console à l'adresse https://console.aws.amazon.com/systems-manager/.

  2. Dans le panneau de navigation, cliquez sur Documents.

  3. Dans la liste des documents, sélectionnez le document que vous souhaitez partager, puis sélectionnez Afficher les détails. Sur l'onglet Permissions (Autorisations), vérifiez que vous êtes le propriétaire du document. Seul le propriétaire d'un document peut le partager.

  4. Sélectionnez Edit (Modifier).

  5. Pour partager la commande publiquement, sélectionnez Public, puis Save. Pour partager la commande de façon privée, sélectionnez Private (Privé), saisissez l'ID de compte Compte AWS , puis sélectionnez Add permission (Ajouter une autorisation et Save (Enregistrer).

Partager un document (ligne de commande)

La procédure suivante nécessite que vous spécifiiez un Région AWS pour votre session de ligne de commande.

  1. Ouvrez le AWS CLI ou AWS Tools for Windows PowerShell sur votre ordinateur local et exécutez la commande suivante pour spécifier vos informations d'identification.

    Dans la commande suivante, remplacez region par vos propres informations. Pour obtenir la liste des region valeurs prises en charge, consultez la colonne Région des points de terminaison du service Systems Manager dans le Référence générale d'Amazon Web Services.

    Linux & macOS
    aws config

AWS Access Key ID: [your key]
AWS Secret Access Key: [your key]
Default region name: region
Default output format [None]:
    Windows
    aws config

AWS Access Key ID: [your key]
AWS Secret Access Key: [your key]
Default region name: region
Default output format [None]:
    PowerShell
    Set-AWSCredentials –AccessKey your key –SecretKey your key
Set-DefaultAWSRegion -Region region

  2. Utilisez la commande suivante pour afficher les autorisations définies pour le document.

    Linux & macOS
    aws ssm describe-document-permission \
    --name document name \
    --permission-type Share
    Windows
    aws ssm describe-document-permission ^
    --name document name ^
    --permission-type Share
    PowerShell
    Get-SSMDocumentPermission `
    –Name document name `
    -PermissionType Share

  3. Utilisez la commande suivante pour modifier les autorisations définies pour le document et partager celui-ci. Vous devez être le propriétaire du document pour modifier les autorisations. En option, pour les documents partagés avec des ID de Compte AWS spécifiques, vous pouvez spécifier une version du document que vous voulez partager à l’aide du paramètre --shared-document-version. Si vous ne spécifiez pas de version, le système partage la version Default du document. Si vous partagez un document publiquement (avec all), toutes les versions du document spécifié sont partagées par défaut. L'exemple de commande suivant permet de partager le document en privé avec une personne spécifique, en fonction de l' Compte AWS identifiant de cette personne.

    Linux & macOS
    aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-add Compte AWS ID
    Windows
    aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-add Compte AWS ID
    PowerShell
    Edit-SSMDocumentPermission `
    –Name document name `
    -PermissionType Share `
    -AccountIdsToAdd Compte AWS ID

  4. Utilisez la commande suivante pour partager un document publiquement.

    Note

    Si vous partagez un document publiquement (avec all), toutes les versions du document spécifié sont partagées par défaut.

    Linux & macOS
    aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-add 'all'
    Windows
    aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-add "all"
    PowerShell
    Edit-SSMDocumentPermission `
    -Name document name `
    -PermissionType Share `
    -AccountIdsToAdd ('all')

Modification des autorisations d'un document SSM partagé

Si vous partagez une commande, les utilisateurs peuvent consulter et utiliser cette commande jusqu'à ce que vous supprimiez l'accès au document AWS Systems Manager (SSM) ou que vous supprimiez le document SSM. Cependant, vous ne pouvez pas supprimer un document tant qu'il est partagé. Vous devez d'abord arrêter le partage, puis supprimer le document.

Note

Cette section s'applique aux documents que vous avez partagés à l'aide des autorisations de votre compte. Pour gérer un document que vous avez partagé via la AWS RAM, consultezPartagez un document SSM à l'aide de AWS RAM.

Arrêt du partage d'un document (console)

Arrêt du partage d'un document

  1. Ouvrez la AWS Systems Manager console à l'adresse https://console.aws.amazon.com/systems-manager/.

  2. Dans le panneau de navigation, cliquez sur Documents.

  3. Dans la liste des documents, sélectionnez le document que vous souhaitez arrêter de partager, puis sélectionnez Détails. Dans la section Autorisations, vérifiez que vous êtes le propriétaire du document. Seul le propriétaire d'un document peut arrêter le partage de celui-ci.

  4. Sélectionnez Edit (Modifier).

  5. Choisissez X pour supprimer l' Compte AWS identifiant qui ne devrait plus avoir accès à la commande, puis choisissez Enregistrer.

Arrêter le partage d'un document (ligne de commande)

Ouvrez le AWS CLI ou AWS Tools for Windows PowerShell sur votre ordinateur local et exécutez la commande suivante pour arrêter de partager un document.

Linux & macOS
aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-remove 'Compte AWS ID'
Windows
aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-remove "Compte AWS ID"
PowerShell
Edit-SSMDocumentPermission `
    -Name document name `
    -PermissionType Share `
    –AccountIdsToRemove Compte AWS ID

Utilisation de documents SSM partagés

Lorsque vous partagez un document AWS Systems Manager (SSM), le système génère un Amazon Resource Name (ARN) et l'affecte à la commande. Si vous sélectionnez et exécutez un document partagé à partir de la console Systems Manager, vous ne voyez pas l'ARN. Toutefois, si vous voulez exécuter un document SSM partagé à l'aide d'une méthode autre que la console Systems Manager, vous devez spécifier l'ARN complet du document pour le DocumentName paramètre de la requête. L'ARN complet d'un document SSM s'affiche lorsque vous exécutez la commande permettant de répertorier les documents.

Note

Vous n'êtes pas obligé de spécifier des ARN pour les documents AWS publics (documents commençant parAWS-*) ou les documents qui vous appartiennent.

Utiliser un document SSM partagé (ligne de commande)

Pour répertorier tous les documents SSM publics

Linux & macOS
aws ssm list-documents \
    --filters Key=Owner,Values=Public
Windows
aws ssm list-documents ^
    --filters Key=Owner,Values=Public
PowerShell
$filter = New-Object Amazon.SimpleSystemsManagement.Model.DocumentKeyValuesFilter
$filter.Key = "Owner"
$filter.Values = "Public"

Get-SSMDocumentList `
    -Filters @($filter)

Pour répertorier les documents SSM privés qui ont été partagés avec vous

Linux & macOS
aws ssm list-documents \
    --filters Key=Owner,Values=Private
Windows
aws ssm list-documents ^
    --filters Key=Owner,Values=Private
PowerShell
$filter = New-Object Amazon.SimpleSystemsManagement.Model.DocumentKeyValuesFilter
$filter.Key = "Owner"
$filter.Values = "Private"

Get-SSMDocumentList `
    -Filters @($filter)

Pour répertorier tous les documents SSM disponibles

Linux & macOS
aws ssm list-documents
Windows
aws ssm list-documents
PowerShell
Get-SSMDocumentList

Pour obtenir des informations sur un document SSM qui a été partagé avec vous

Linux & macOS
aws ssm describe-document \
    --name arn:aws:ssm:us-east-2:12345678912:document/documentName
Windows
aws ssm describe-document ^
    --name arn:aws:ssm:us-east-2:12345678912:document/documentName
PowerShell
Get-SSMDocumentDescription `
    –Name arn:aws:ssm:us-east-2:12345678912:document/documentName

Pour exécuter un document SSM partagé

Linux & macOS
aws ssm send-command \
    --document-name arn:aws:ssm:us-east-2:12345678912:document/documentName \
    --instance-ids ID
Windows
aws ssm send-command ^
    --document-name arn:aws:ssm:us-east-2:12345678912:document/documentName ^
    --instance-ids ID
PowerShell
Send-SSMCommand `
    –DocumentName arn:aws:ssm:us-east-2:12345678912:document/documentName `
    –InstanceIds ID