View a markdown version of this page

Peran IAM yang dibuat oleh konsol Systems Manager - AWS Systems Manager

• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola CloudWatch dasbor Amazon mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Peran IAM yang dibuat oleh konsol Systems Manager

Saat Anda membuat Konektor Cloud di Systems Manager Konsol Manajemen AWS, Systems Manager membuat dan mengonfigurasi tiga peran IAM Akun AWS atas nama Anda. Ini juga memberikan peran instance terkelola ke mesin virtual Azure yang terdaftar melalui konektor. Peran tersebut membentuk rantai kepercayaan antara Systems Manager, AutomationState Manager, dan Azure melalui federasi OpenID Connect (OIDC). Rantai kepercayaan ini memungkinkan Systems Manager menjalankan runbook Otomasi terhadap mesin virtual Azure Anda tanpa rahasia berumur panjang.

Setiap nama peran menggunakan polaSSM-AzureType-connector-name-id8, di mana nama tampilan yang Anda berikan (connector-namedisanitasi ke karakter alfanumerik, tanda hubung, dan garis bawah, kemudian dipotong agar sesuai dengan batas nama peran 64 karakter IAM) dan merupakan delapan karakter pertama dari UUID. id8 Peran dibuat di jalur /service-role/ IAM.

Konsol membuat peran dalam urutan ini:

  1. Peran federasi Azure, dengan kebijakan kepercayaan yang awalnya hanya menyebutkan prinsip layanan Systems Manager sebagai entitas tepercaya.

  2. Otomasi mengambil peran dan peran pengiriman otomatisasi.

  3. Konsol kemudian memperbarui kebijakan kepercayaan peran federasi Azure untuk menambahkan peran asumsi otomatisasi dan peran pengiriman otomatisasi sebagai prinsip tepercaya. Setelah pembaruan ini, kebijakan kepercayaan adalah yang ditampilkanPeran federasi Azure.

catatan

Konsol Systems Manager membuat peran ini hanya selama wizard penyiapan Cloud Connector. Jika Anda membuat Konektor Cloud dengan AWS CLI (seperti yang dijelaskan dalamLangkah 2: Buat Konektor Cloud Systems Manager), Anda harus membuat peran sendiri. Kebijakan kepercayaan dan izin di bagian ini menunjukkan JSON yang dapat Anda gunakan untuk membuatnya kembali. Jika Anda membuat ulang peran, lakukan hal berikut:

  • Buat ketiga peran (federasi Azure, asumsi otomatisasi, dan pengiriman otomatisasi) di jalur IAM. /service-role/ Kebijakan izin dan kebijakan kepercayaan peran federasi Azure mereferensikan peran oleh ARN yang menyertakan jalur ini.

  • Tandai peran asumsi otomatisasi dan peran pengiriman otomatisasi dengan tag utama. caller=SSM Kebijakan kepercayaan peran federasi Azure membutuhkan tag ini.

Semua panggilan API yang dibuat oleh peran ini dicatat ke AWS CloudTrail (CloudTrail). Untuk informasi tentang Systems Manager yang masuk CloudTrail, lihatPencatatan panggilan AWS Systems Manager API dengan AWS CloudTrail.