Mengonfigurasi peran dan izin untuk Systems Manager Explorer - AWS Systems Manager
Mengkonfigurasi izin untuk Systems Manager OpsCenter

AWS Systems ManagerChange Managertidak lagi terbuka untuk pelanggan baru. Pelanggan yang sudah ada dapat terus menggunakan layanan ini seperti biasa. Untuk informasi selengkapnya, lihat perubahan AWS Systems ManagerChange Manager ketersediaan.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengonfigurasi peran dan izin untuk Systems Manager Explorer

Pengaturan Terpadu secara otomatis membuat dan mengonfigurasi peran AWS Identity and Access Management (IAM) untuk AWS Systems Manager Explorer dan. AWS Systems Manager OpsCenter Jika Anda menyelesaikan Penyiapan Terpadu, maka Anda tidak perlu melakukan tugas tambahan apa pun untuk mengonfigurasi peran dan izin. Explorer Namun, Anda harus mengonfigurasi izin untukOpsCenter, seperti yang dijelaskan nanti dalam topik ini.

Pengaturan Terpadu membuat dan mengonfigurasi peran berikut untuk bekerja dengan Explorer danOpsCenter.

  • AWSServiceRoleForAmazonSSMMenyediakan akses ke AWS sumber daya yang dikelola atau digunakan oleh Systems Manager.

  • OpsItem-CWE-Role: Memungkinkan CloudWatch Acara dan EventBridge untuk membuat OpsItems dalam menanggapi peristiwa umum.

  • AWSServiceRoleForAmazonSSM_AccountDiscovery: Memungkinkan Systems Manager menelepon orang lain Layanan AWS untuk menemukan Akun AWS informasi saat menyinkronkan data. Untuk informasi selengkapnya tentang peran ini, silakan lihat Menggunakan peran untuk mengumpulkan Akun AWS informasi OpsCenter and Explorer.

  • AmazonSSMExplorerExport: Memungkinkan Explorer untuk mengekspor OpsData ke file nilai dipisahkan koma (CSV).

Jika Anda mengonfigurasi Explorer untuk menampilkan data dari beberapa akun dan Wilayah dengan menggunakan AWS Organizations dan sinkronisasi data sumber daya, Systems Manager akan membuat peran AWSServiceRoleForAmazonSSM_AccountDiscovery terkait layanan. Systems Manager menggunakan peran ini untuk mendapatkan informasi tentang Anda Akun AWS AWS Organizations. Peran tersebut menggunakan kebijakan izin berikut.

JSON
{
   "Version":"2012-10-17",		 	 	 
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "organizations:DescribeAccount",
            "organizations:DescribeOrganization",
            "organizations:ListAccounts",
            "organizations:ListAWSServiceAccessForOrganization",
            "organizations:ListChildren",
            "organizations:ListParents"
         ],
         "Resource":"*"
      }
   ]
}

Untuk informasi selengkapnya tentang peran AWSServiceRoleForAmazonSSM_AccountDiscovery ini, lihat Menggunakan peran untuk mengumpulkan Akun AWS informasi OpsCenter and Explorer.

Mengkonfigurasi izin untuk Systems Manager OpsCenter

Setelah menyelesaikan Penyiapan Terpadu, Anda harus mengonfigurasi izin pengguna, grup, atau peran sehingga pengguna dapat melakukan tindakan. OpsCenter

Sebelum Anda mulai

Anda dapat mengonfigurasi OpsCenter untuk membuat dan mengelola OpsItems satu akun atau di beberapa akun. Jika Anda mengonfigurasi OpsCenter untuk membuat dan mengelola OpsItems di beberapa akun, Anda dapat menggunakan akun administrator yang didelegasikan Systems Manager atau akun AWS Organizations manajemen untuk membuat, melihat, atau mengedit secara manual OpsItems di akun lain. Untuk informasi selengkapnya tentang akun administrator yang didelegasikan Systems Manager, lihatMengkonfigurasi administrator yang didelegasikan untuk Explorer.

Jika Anda mengonfigurasi OpsCenter untuk satu akun, Anda hanya dapat melihat atau mengedit OpsItems di akun tempat OpsItems dibuat. Anda tidak dapat berbagi atau OpsItems mentransfer Akun AWS. Untuk alasan ini, kami menyarankan Anda mengonfigurasi izin untuk OpsCenter di Akun AWS yang digunakan untuk menjalankan beban AWS kerja Anda. Anda kemudian dapat membuat pengguna atau grup di akun itu. Dengan cara ini, beberapa insinyur operasi atau profesional TI dapat membuat, melihat, dan mengedit OpsItems dalam hal yang sama Akun AWS.

Explorerdan OpsCenter gunakan operasi API berikut. Anda dapat menggunakan semua fitur Explorer dan OpsCenter jika pengguna, grup, atau peran Anda memiliki akses ke tindakan ini. Anda juga dapat membuat akses yang lebih ketat, seperti yang dijelaskan nanti di bagian ini.

Jika mau, Anda dapat menentukan izin hanya-baca dengan menambahkan kebijakan sebaris berikut ke akun, grup, atau peran Anda.

JSON
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetOpsItem",
        "ssm:GetOpsSummary",
        "ssm:DescribeOpsItems",
        "ssm:GetServiceSetting",
        "ssm:ListResourceDataSync"
      ],
      "Resource": "*"
    }
  ]
}

Untuk informasi selengkapnya tentang membuat dan mengedit kebijakan IAM, lihat Membuat Kebijakan IAM dalam Panduan Pengguna IAM. Untuk informasi tentang cara menetapkan kebijakan ini ke grup IAM, lihatMelampirkan Kebijakan ke Grup IAM.

Buat izin menggunakan yang berikut ini dan tambahkan ke pengguna, grup, atau peran Anda:

JSON
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetOpsItem",
        "ssm:UpdateOpsItem",
        "ssm:DescribeOpsItems",
        "ssm:CreateOpsItem",
        "ssm:CreateResourceDataSync",
        "ssm:DeleteResourceDataSync",
        "ssm:ListResourceDataSync",
        "ssm:UpdateResourceDataSync"

      ],
      "Resource": "*"
    }
  ]
}

Bergantung pada aplikasi identitas yang Anda gunakan di organisasi Anda, Anda dapat memilih salah satu opsi berikut untuk mengonfigurasi akses pengguna.

Untuk memberikan akses dan menambahkan izin bagi pengguna, grup, atau peran Anda:

Membatasi akses OpsItems dengan menggunakan tag

Anda juga dapat membatasi akses OpsItems dengan menggunakan kebijakan IAM inline yang menentukan tag. Berikut adalah contoh yang menentukan kunci tag Departemen dan nilai tag Keuangan. Dengan kebijakan ini, pengguna hanya dapat memanggil operasi GetOpsItemAPI untuk melihat OpsItems yang sebelumnya ditandai dengan Key=Department dan Value=Finance. Pengguna tidak dapat melihat yang lainOpsItems.

JSON
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetOpsItem"
             ],
      "Resource": "*"
      ,
      "Condition": { "StringEquals": { "ssm:resourceTag/Department": "Finance" } }
    }
  ]
}

Berikut adalah contoh yang menentukan operasi API untuk melihat dan memperbaruiOpsItems. Kebijakan ini juga menentukan dua set pasangan nilai kunci tag: Departemen-Keuangan dan Project-Unity.

JSON
{
   "Version":"2012-10-17",		 	 	 
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "ssm:GetOpsItem",
            "ssm:UpdateOpsItem"
         ],
         "Resource":"*",
         "Condition":{
            "StringEquals":{
               "ssm:resourceTag/Department":"Finance",
               "ssm:resourceTag/Project":"Unity"
            }
         }
      }
   ]
}

Untuk informasi tentang menambahkan tag ke sebuahOpsItem, lihatBuat OpsItems secara manual.