Azioni, risorse e chiavi di condizione per AWS Systems Manager
AWS Systems Manager (prefisso del servizio:ssm) fornisce le seguenti operazioni, risorse, azioni e chiavi di condizione specifiche del servizio da utilizzare nelle policy di autorizzazione IAM.
Riferimenti:
-
Scopri come configurare questo servizio.
-
Visualizza un elenco delle operazioni API disponibili per questo servizio.
-
Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni IAM.
-
Visualizza il riferimento programmatico all'autorizzazione del servizio
per questo servizio.
Argomenti
Operazioni API definite da AWS Systems Manager
La tabella seguente mappa le operazioni API alle azioni IAM che autorizzano. Sono elencate solo le chiavi di condizione che hanno valori statici per l'API e l'azione specificate; per il set completo di chiavi di condizione supportate da ciascuna azione, consulta la tabella Azioni.
| Operation | Azione IAM | Chiave di condizione | Valori possibili | Livello di accesso |
|---|---|---|---|---|
|
AddTagsToResource |
Etichettatura, scrittura |
|||
|
AssociateOpsItemRelatedItem |
Scrittura |
|||
|
CancelCommand |
Scrittura |
|||
|
CancelMaintenanceWindowExecution |
Scrittura |
|||
|
CreateActivation |
Etichettatura, scrittura |
|||
Scrittura |
||||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
CreateAssociation |
Etichettatura, scrittura |
|||
Scrittura |
||||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
CreateAssociationBatch |
Scrittura |
|||
Scrittura |
||||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
CreateCloudConnector |
Etichettatura, scrittura |
|||
Scrittura |
||||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
CreateDocument |
Etichettatura, scrittura |
|||
Scrittura |
||||
Lettura |
||||
Io sono: PassedToService |
justintimeaccess.ssm.amazonaws.com, ssm.amazonaws.com |
Scrittura |
||
|
CreateMaintenanceWindow |
Etichettatura, scrittura |
|||
Scrittura |
||||
|
CreateOpsItem |
Etichettatura, scrittura |
|||
Scrittura |
||||
|
CreateOpsMetadata |
Etichettatura, scrittura |
|||
Scrittura |
||||
|
CreatePatchBaseline |
Etichettatura, scrittura |
|||
Scrittura |
||||
|
CreateResourceDataSync |
Scrittura |
|||
|
DeleteActivation |
Scrittura |
|||
|
DeleteAssociation |
Scrittura |
|||
|
DeleteCloudConnector |
Scrittura |
|||
|
DeleteDocument |
Scrittura |
|||
|
DeleteInventory |
Scrittura |
|||
|
DeleteMaintenanceWindow |
Scrittura |
|||
|
DeleteOpsItem |
Scrittura |
|||
|
DeleteOpsMetadata |
Scrittura |
|||
|
DeleteParameter |
Scrittura |
|||
|
DeleteParameters |
Scrittura |
|||
|
DeletePatchBaseline |
Scrittura |
|||
|
DeleteResourceDataSync |
Scrittura |
|||
|
DeleteResourcePolicy |
Gestione delle autorizzazioni, Write |
|||
|
DeregisterManagedInstance |
Scrittura |
|||
|
DeregisterPatchBaselineForPatchGroup |
Scrittura |
|||
|
DeregisterTargetFromMaintenanceWindow |
Scrittura |
|||
|
DeregisterTaskFromMaintenanceWindow |
Scrittura |
|||
|
DescribeActivations |
Lettura |
|||
|
DescribeAssociation |
Lettura |
|||
|
DescribeAssociationExecutionTargets |
Lettura |
|||
|
DescribeAssociationExecutions |
Lettura |
|||
|
DescribeAutomationExecutions |
Lettura |
|||
|
DescribeAutomationStepExecutions |
Lettura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
DescribeAvailablePatches |
Lettura |
|||
|
DescribeDocument |
Lettura |
|||
|
DescribeDocumentPermission |
Lettura |
|||
|
DescribeEffectiveInstanceAssociations |
Lettura |
|||
|
DescribeEffectivePatchesForPatchBaseline |
Lettura |
|||
|
DescribeInstanceAssociationsStatus |
Lettura |
|||
|
DescribeInstanceInformation |
Lettura |
|||
|
DescribeInstancePatchStates |
Lettura |
|||
|
DescribeInstancePatchStatesForPatchGroup |
Lettura |
|||
|
DescribeInstancePatches |
Lettura |
|||
|
DescribeInstanceProperties |
Lettura |
|||
|
DescribeInventoryDeletions |
Lettura |
|||
|
DescribeMaintenanceWindowExecutionTaskInvocations |
List |
|||
|
DescribeMaintenanceWindowExecutionTasks |
List |
|||
|
DescribeMaintenanceWindowExecutions |
List |
|||
|
DescribeMaintenanceWindowSchedule |
List |
|||
|
DescribeMaintenanceWindowTargets |
List |
|||
|
DescribeMaintenanceWindowTasks |
List |
|||
|
DescribeMaintenanceWindows |
List |
|||
|
DescribeMaintenanceWindowsForTarget |
List |
|||
|
DescribeOpsItems |
Lettura |
|||
|
DescribeParameters |
List |
|||
|
DescribePatchBaselines |
List |
|||
|
DescribePatchGroupState |
List |
|||
|
DescribePatchGroups |
List |
|||
|
DescribePatchProperties |
List |
|||
|
DescribeSessions |
List |
|||
|
DisassociateOpsItemRelatedItem |
Scrittura |
|||
|
GetAccessToken |
Lettura |
|||
|
GetAutomationExecution |
Lettura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
GetCalendarState |
Lettura |
|||
|
GetCloudConnector |
Lettura |
|||
|
GetCommandInvocation |
Lettura |
|||
|
GetConnectionStatus |
Lettura |
|||
|
GetDefaultPatchBaseline |
Lettura |
|||
|
GetDeployablePatchSnapshotForInstance |
Lettura |
|||
|
GetDocument |
Lettura |
|||
|
GetExecutionPreview |
Lettura |
|||
|
GetInventory |
Lettura |
|||
|
GetInventorySchema |
Lettura |
|||
|
GetMaintenanceWindow |
Lettura |
|||
|
GetMaintenanceWindowExecution |
Lettura |
|||
|
GetMaintenanceWindowExecutionTask |
Lettura |
|||
|
GetMaintenanceWindowExecutionTaskInvocation |
Lettura |
|||
|
GetMaintenanceWindowTask |
Lettura |
|||
|
GetOpsItem |
Lettura |
|||
|
GetOpsMetadata |
Lettura |
|||
|
GetOpsSummary |
Lettura |
|||
|
GetParameter |
Lettura |
|||
|
GetParameterHistory |
Lettura |
|||
|
GetParameters |
Lettura |
|||
|
GetParametersByPath |
Lettura |
|||
|
GetPatchBaseline |
Lettura |
|||
|
GetPatchBaselineForPatchGroup |
Lettura |
|||
|
GetResourcePolicies |
List |
|||
|
GetServiceSetting |
Lettura |
|||
|
LabelParameterVersion |
Scrittura |
|||
|
ListAssociationVersions |
List |
|||
|
ListAssociations |
List |
|||
|
ListCloudConnectors |
List |
|||
|
ListCommandInvocations |
List |
|||
|
ListCommands |
List |
|||
|
ListComplianceItems |
List |
|||
|
ListComplianceSummaries |
List |
|||
|
ListDocumentMetadataHistory |
List |
|||
|
ListDocumentVersions |
List |
|||
|
ListDocuments |
List |
|||
|
ListInventoryEntries |
List |
|||
|
ListNodes |
List |
|||
|
ListNodesSummary |
List |
|||
|
ListOpsItemEvents |
List |
|||
|
ListOpsItemRelatedItems |
List |
|||
|
ListOpsMetadata |
List |
|||
|
ListResourceComplianceSummaries |
List |
|||
|
ListResourceDataSync |
List |
|||
|
ListTagsForResource |
List |
|||
|
ModifyDocumentPermission |
Gestione delle autorizzazioni, Write |
|||
|
PutComplianceItems |
Scrittura |
|||
|
PutInventory |
Scrittura |
|||
|
PutParameter |
Etichettatura, scrittura |
|||
Scrittura |
||||
|
PutResourcePolicy |
Gestione delle autorizzazioni, Write |
|||
|
RegisterDefaultPatchBaseline |
Scrittura |
|||
|
RegisterPatchBaselineForPatchGroup |
Scrittura |
|||
|
RegisterTargetWithMaintenanceWindow |
Scrittura |
|||
|
RegisterTaskWithMaintenanceWindow |
Scrittura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
RemoveTagsFromResource |
Etichettatura, scrittura |
|||
|
ResetServiceSetting |
Scrittura |
|||
|
ResumeSession |
Scrittura |
|||
|
SendAutomationSignal |
Scrittura |
|||
|
SendCommand |
Scrittura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
StartAccessRequest |
Etichettatura, scrittura |
|||
Scrittura |
||||
|
StartAssociationsOnce |
Scrittura |
|||
|
StartAutomationExecution |
Etichettatura, scrittura |
|||
Scrittura |
||||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
StartChangeRequestExecution |
Scrittura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
StartExecutionPreview |
Lettura |
|||
|
StartSession |
Scrittura |
|||
|
StopAutomationExecution |
Scrittura |
|||
|
TerminateSession |
Scrittura |
|||
|
UnlabelParameterVersion |
Scrittura |
|||
|
UpdateAssociation |
Scrittura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
UpdateAssociationStatus |
Scrittura |
|||
|
UpdateCloudConnector |
Scrittura |
|||
|
UpdateDocument |
Scrittura |
|||
Io sono: PassedToService |
justintimeaccess.ssm.amazonaws.com, ssm.amazonaws.com |
Scrittura |
||
|
UpdateDocumentDefaultVersion |
Scrittura |
|||
|
UpdateDocumentMetadata |
Scrittura |
|||
|
UpdateMaintenanceWindow |
Scrittura |
|||
|
UpdateMaintenanceWindowTarget |
Scrittura |
|||
|
UpdateMaintenanceWindowTask |
Scrittura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
UpdateManagedInstanceRole |
Scrittura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
UpdateOpsItem |
Scrittura |
|||
|
UpdateOpsMetadata |
Scrittura |
|||
|
UpdatePatchBaseline |
Scrittura |
|||
|
UpdateResourceDataSync |
Scrittura |
|||
|
UpdateServiceSetting |
Scrittura |
|||
Io sono: PassedToService |
ssm.amazonaws.com |
Scrittura |
||
|
ValidateCloudConnector |
Lettura |
Azioni definite da AWS Systems Manager
Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.
| Azioni | Description | Tipi di risorsa (*obbligatorio) | Chiavi di condizione | Livello di accesso |
|---|---|---|---|---|
Concede il permesso di aggiungere o sovrascrivere uno o più tag per una risorsa specificata AWS |
leggi: RequestTag /$ {} TagKey |
Etichettatura, scrittura |
||
|
legge: RequestTag /$ {} TagKey |
||||
|
leggi: /$ {} RequestTag TagKey |
||||
|
leggi: RequestTag /$ {0} TagKey |
||||
|
legge: RequestTag /$ {0} TagKey |
||||
|
leggi: /$ {} RequestTag TagKey |
||||
|
leggi: /$ {} RequestTag TagKey |
||||
|
legge: /$ {} RequestTag TagKey |
||||
|
leggi: RequestTag /$ {} TagKey |
||||
Concede il permesso di associarsi RelatedItem a un OpsItem |
Scrittura |
|||
Concede l'autorizzazione per annullare un comando Run Command specificato |
Scrittura |
|||
Concede l'autorizzazione per annullare l'esecuzione di una finestra di manutenzione in corso |
Scrittura |
|||
Concede l'autorizzazione per creare un'attivazione utilizzata per registrare server e macchine virtuali (VM) on-premise con Systems Manager |
Scrittura |
|||
Concede l'autorizzazione per associare un documento di Systems Manager specifico alle istanze o ad altre destinazioni specificate |
leggi: RequestTag /$ {} TagKey |
Scrittura |
||
|
leggi: RequestTag /$ {} TagKey |
||||
|
leggi: /$ {} RequestTag TagKey |
||||
Concede il permesso di combinare le voci per più CreateAssociation operazioni in un unico comando |
leggi: RequestTag /$ {} TagKey |
Scrittura |
||
|
leggi: /$ {} RequestTag TagKey |
||||
Concede l'autorizzazione a creare un connettore cloud per la gestione delle istanze in altri ambienti cloud |
leggi: /$ {} RequestTag TagKey |
Scrittura |
||
Concede l'autorizzazione per creare un documento SSM di Systems Manager |
leggi: RequestTag /$ {} TagKey |
Scrittura |
||
Concede l'autorizzazione per creare una finestra di manutenzione |
Scrittura |
|||
Concede il permesso di creare un in OpsItem OpsCenter |
Scrittura |
|||
Concede il permesso di creare un OpsMetadata oggetto per una risorsa AWS |
Scrittura |
|||
Concede l'autorizzazione per creare una base di patch |
Scrittura |
|||
Concede l'autorizzazione per creare una configurazione di sincronizzazione dei dati delle risorse, che raccoglie regolarmente i dati di inventario da istanze gestite e aggiorna i dati in un bucket Amazon S3 |
Scrittura |
|||
Concede l'autorizzazione per eliminare un'attivazione specificata per istanze gestite |
Scrittura |
|||
Concede l'autorizzazione per dissociare un determinato documento SSM da un'istanza specificata |
Scrittura |
|||
Concede l'autorizzazione a eliminare un connettore cloud specificato |
Scrittura |
|||
Concede l'autorizzazione per eliminare un documento SSM specificato e le relative associazioni istanze |
Scrittura |
|||
Concede l'autorizzazione per eliminare un tipo di inventario personalizzato specificato o i dati associati a un tipo di inventario personalizzato |
Scrittura |
|||
Concede l'autorizzazione per eliminare una finestra di manutenzione specificata |
Scrittura |
|||
Concede il permesso di eliminare un OpsItem |
Scrittura |
|||
Concede il permesso di eliminare un oggetto OpsMetadata |
Scrittura |
|||
Concede l'autorizzazione per eliminare un parametro SSM specificato |
Scrittura |
|||
Concede l'autorizzazione per eliminare più parametri SSM specificati |
Scrittura |
|||
Concede l'autorizzazione per eliminare una base di patch specificata |
Scrittura |
|||
Concede l'autorizzazione per eliminare una sincronizzazione dei dati della risorsa specificata |
Scrittura |
|||
Concede l'autorizzazione per eliminare una policy delle risorse di Systems Manager |
Gestione delle autorizzazioni, scrittura |
|||
Concede l'autorizzazione per annullare la registrazione di un server o una macchina virtuale on-premise specificati da Systems Manager |
Scrittura |
|||
Concede l'autorizzazione per annullare la registrazione di una base di patch specificata come base di patch predefinita per un gruppo di patch specificato |
Scrittura |
|||
Concede l'autorizzazione per annullare la registrazione di una destinazione specificata da una finestra di manutenzione |
Scrittura |
|||
Concede l'autorizzazione per annullare la registrazione di un'attività specificata da una finestra di manutenzione |
Scrittura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi all'attivazione di un'istanza gestita specificata, ad esempio quando è stata creata e il numero di istanze registrate mediante l'attivazione |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi all'associazione specificata per un'istanza o una destinazione specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare le informazioni relative all'esecuzione di un'associazione specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare tutte le esecuzioni per un'associazione specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi a tutte le esecuzioni di automazioni attive e terminate |
Lettura |
|||
Concede l'autorizzazione per visualizzare le informazioni relative a tutte le esecuzioni della fase attive e terminate in un flusso di lavoro di automazione. |
Lettura |
|||
Concede l'autorizzazione per visualizzare tutte le patch che possono essere incluse in una base di patch |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi a un documento SSM specificato |
Lettura |
|||
Concede l'autorizzazione per visualizzare informazioni relative ai parametri del documento SSM nella console Systems Manager (operazione Systems Manager interna) |
Lettura |
|||
Concede l'autorizzazione per visualizzare le autorizzazioni per un documento SSM specificato |
Lettura |
|||
Concede l'autorizzazione per visualizzare tutte le associazioni correnti per un'istanza specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi alle patch attualmente associate alla base di patch specificata (solo Windows) |
Lettura |
|||
Concede l'autorizzazione per visualizzare lo stato delle associazioni per un'istanza specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi a un'istanza specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli sullo stato relativi alle patch su un'istanza specificata |
Lettura |
|||
Concede l'autorizzazione per descrivere lo stato delle patch di alto livello per le istanze nel gruppo di patch specificato |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli generali relativi alle patch su un'istanza specificata |
Lettura |
|||
Concede alla console Amazon EC2 dell'utente l'autorizzazione per eseguire il rendering dei nodi delle istanze gestite |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi all'eliminazione di un inventario specificato |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli dell'esecuzione di un'attività specificata per una finestra di manutenzione |
Elenco |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi alle attività eseguite durante l'esecuzione di una finestra di manutenzione specificata |
Elenco |
|||
Concede l'autorizzazione per visualizzare le esecuzioni di una finestra di manutenzione specificata |
List |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi alle prossime esecuzioni di una finestra di manutenzione specificata |
Elenco |
|||
Concede l'autorizzazione per visualizzare un elenco delle destinazioni associate a una finestra di manutenzione specificata |
List |
|||
Concede l'autorizzazione per visualizzare un elenco delle attività associate a una finestra di manutenzione specificata |
List |
|||
Concede l'autorizzazione per visualizzare le informazioni relative a tutte le finestre di manutenzione o a quelle specificate |
Elenco |
|||
Concede l'autorizzazione per visualizzare le informazioni relative alle destinazioni della finestra di manutenzione e alle attività associate a un'istanza specificata |
List |
|||
Concede il permesso di visualizzare i dettagli su specificati OpsItems |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi a un parametro SSM specificato |
Elenco |
|||
Concede l'autorizzazione per visualizzare le informazioni relative alle basi di patch che soddisfano i criteri specificati |
Elenco |
|||
Concede l'autorizzazione per visualizzare i dettagli di stato aggregati per le patch di un gruppo di patch specificato |
List |
|||
Concede l'autorizzazione per visualizzare le informazioni relative alla base di patch per un gruppo di patch specificato |
Elenco |
|||
Concede l'autorizzazione per visualizzare i dettagli delle patch disponibili per un sistema operativo e una proprietà patch specificati |
Elenco |
|||
Concede l'autorizzazione per visualizzare un elenco di sessioni di Session Manager recenti che soddisfano i criteri di ricerca specificati |
List |
|||
Concede il permesso di RelatedItem dissociarsi da un OpsItem |
Scrittura |
|||
Concede l'autorizzazione a un amministratore delegato di Systems Manager di visualizzare i dettagli delle risorse correlate OpsItems su più AWS account in Console di gestione AWS |
Lettura |
|||
Concede l'autorizzazione a restituire un set di credenziali da utilizzare con accesso al nodo just-in-time |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli di un'esecuzione di automazione specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare lo stato del calendario per un calendario di modifiche o un elenco di calendari di modifiche |
Lettura |
|||
Concede l'autorizzazione a visualizzare i dettagli su un connettore cloud specificato |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi all'esecuzione del comando di un'invocazione o un plugin specificati |
Lettura |
|||
Concede l'autorizzazione per visualizzare lo stato di connessione di Session Manager per un'istanza gestita specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare la base di patch predefinita corrente per un tipo di sistema operativo specificato |
Lettura |
|||
Concede l'autorizzazione per recuperare lo snapshot della base di patch corrente per un'istanza specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare il contenuto di un documento SSM specificato |
Lettura |
|||
Concede l'autorizzazione a recuperare un'anteprima esistente che mostra gli effetti che l'esecuzione di un runbook di automazione specificato avrebbe sulle risorse di destinazione |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli di inventario delle istanze secondo i criteri specificati |
Lettura |
|||
Concede l'autorizzazione per visualizzare un elenco di tipi di inventario o nomi di attributo per un tipo di elemento dell'inventario specificato |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi a una finestra di manutenzione specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi all'esecuzione di una finestra di manutenzione specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi all'attività di esecuzione di una finestra di manutenzione specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi all'esecuzione dell'attività di una determinata finestra di manutenzione su una destinazione specifica |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli relativi alle attività registrate con una finestra di manutenzione specificata |
Lettura |
|||
Concede il permesso di visualizzare informazioni su uno specifico OpsItem |
Lettura |
|||
Concede il permesso di recuperare un oggetto OpsMetadata |
Lettura |
|||
Concede l'autorizzazione a visualizzare informazioni di riepilogo sulla base di filtri e aggregatori specificati OpsItems |
Lettura |
|||
Concede l'autorizzazione per visualizzare le informazioni relative a un parametro specificato |
Lettura |
|||
Concede l'autorizzazione per visualizzare i dettagli e le modifiche per un parametro specificato |
Lettura |
|||
Concede l'autorizzazione per visualizzare le informazioni relative a più parametri specificati |
Lettura |
|||
Concede l'autorizzazione per visualizzare le informazioni relative ai parametri in una gerarchia specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare le informazioni relative a una base di patch specificata |
Lettura |
|||
Concede l'autorizzazione per visualizzare l'ID della base di patch corrente per un gruppo di patch specificato |
Lettura |
|||
Concede l'autorizzazione per richiamare gli elenchi delle policy delle risorse di Systems Manager |
List |
|||
Concede l'autorizzazione a visualizzare le impostazioni a livello di account per un servizio AWS |
Lettura |
|||
Concede l'autorizzazione per applicare un'etichetta di identificazione a una versione specificata di un parametro |
Scrittura |
|||
Concede l'autorizzazione per elencare le versioni dell'associazione specificata |
List |
|||
Concede l'autorizzazione per elencare le associazioni per un documento SSM o un'istanza gestita specificati |
List |
|||
Concede l'autorizzazione a elencare i connettori cloud nel tuo account |
List |
|||
Concede l'autorizzazione per elencare le informazioni relative alle invocazioni del comando inviate a un'istanza specificata |
List |
|||
Concede l'autorizzazione per elencare i comandi inviati a un'istanza specificata |
List |
|||
Concede l'autorizzazione per elencare lo stato di conformità per i tipi di risorse specificati su una risorsa specificata |
Elenco |
|||
Concede l'autorizzazione per elencare un conteggio riepilogativo delle risorse conformi e non conformi per un tipo di conformità specificato |
Elenco |
|||
Concede l'autorizzazione per visualizzare la cronologia dei metadati di un documento SSM specificato |
List |
|||
Concede l'autorizzazione per elencare tutte le versioni di un documento specificato |
List |
|||
Concede l'autorizzazione per visualizzare le informazioni relative a un documento SSM specificato |
List |
|||
Concede all'SSM Agent l'autorizzazione per verificare la presenza di nuove associazioni Gestione stato (chiamata Systems Manager interna) |
List |
|||
Concede l'autorizzazione per visualizzare un elenco di tipi di inventario specificati per un'istanza specificata |
List |
|||
Concede l'autorizzazione a visualizzare i dettagli sui nodi gestiti in base a filtri specificati |
List |
|||
Concede l'autorizzazione a visualizzare informazioni di riepilogo sui nodi gestiti in base a filtri e aggregatori specificati |
List |
|||
Concede il permesso di visualizzare i dettagli su OpsItemEvents |
List |
|||
Concede il permesso di visualizzare i dettagli su OpsItem RelatedItems |
List |
|||
Concede il permesso di visualizzare un elenco di oggetti OpsMetadata |
List |
|||
Concede l'autorizzazione per elencare un conteggio riepilogativo a livello di risorsa |
Elenco |
|||
Concede l'autorizzazione per elencare le informazioni relative alle configurazioni di sincronizzazione dei dati delle risorse in un account |
List |
|||
Concede l'autorizzazione per visualizzare un elenco di tag delle risorse per una risorsa specificata |
List |
|||
Concede l'autorizzazione a condividere un documento SSM personalizzato pubblicamente o privatamente con account specifici AWS |
Gestione delle autorizzazioni, scrittura |
|||
Concede l'autorizzazione per registrare un tipo di conformità e altri dettagli di conformità su una risorsa specificata |
Scrittura |
|||
Concede l'autorizzazione per aggiungere o aggiornare elementi di inventario su più istanze gestite specificate |
Scrittura |
|||
Concede l'autorizzazione per creare un parametro SSM |
leggi: RequestTag /$ {} TagKey |
Scrittura |
||
Concede l'autorizzazione per creare o aggiornare la policy delle risorse di Systems Manager |
Gestione delle autorizzazioni, scrittura |
|||
Concede l'autorizzazione per specificare la base di patch predefinita per un tipo di sistema operativo |
Scrittura |
|||
Concede l'autorizzazione per registrare un Systems Manager Agent |
Scrittura |
|||
Concede l'autorizzazione per specificare la base di patch predefinita per un gruppo di patch specificato |
Scrittura |
|||
Concede l'autorizzazione per registrare una destinazione con una finestra di manutenzione specificata |
Scrittura |
|||
Concede l'autorizzazione per registrare un'attività con una finestra di manutenzione specificata |
Scrittura |
|||
Concede l'autorizzazione per rimuovere una chiave di tag specificata da una risorsa specificata |
Etichettatura, scrittura |
|||
Concede l'autorizzazione a ripristinare l'impostazione del servizio per an Account AWS al valore predefinito |
Scrittura |
|||
Concede l'autorizzazione per riconnettere una sessione di Session Manager a un'istanza gestita |
Scrittura |
|||
Concede l'autorizzazione per inviare un segnale per modificare il comportamento o lo stato corrente di un'esecuzione di automazione specificata |
Scrittura |
|||
Concede l'autorizzazione per eseguire comandi su una o più istanze gestite specificate |
Scrittura |
|||
Concede l'autorizzazione all'avvio del flusso di lavoro per le sessioni di accesso ai nodi just-in-time |
Scrittura |
|||
Concede l'autorizzazione per eseguire manualmente un'associazione specificata |
Scrittura |
|||
Concede l'autorizzazione per avviare l'esecuzione di un documento di automazione |
leggi: RequestTag /$ {} TagKey |
Scrittura |
||
|
leggi: /$ {} RequestTag TagKey |
||||
|
leggi: RequestTag /$ {} TagKey |
||||
Concede l'autorizzazione per avviare l'esecuzione di un documento di un modello di modifica automazione |
leggi: RequestTag /$ {} TagKey |
Scrittura |
||
|
leggi: /$ {} RequestTag TagKey |
||||
|
leggi: RequestTag /$ {} TagKey |
||||
Concede l'autorizzazione a creare un'anteprima che mostri gli effetti che l'esecuzione di un runbook di automazione specificato avrebbe sulle risorse di destinazione |
Lettura |
|||
Concede l'autorizzazione per avviare una connessione a una destinazione specificata per una sessione di Session Manager |
Scrittura |
|||
Concede l'autorizzazione per interrompere un'esecuzione di automazione specificata già in corso |
Scrittura |
|||
Concede l'autorizzazione per terminare definitivamente una connessione di Session Manager a un'istanza |
Scrittura |
|||
Concede l'autorizzazione per rimuovere un'etichetta di identificazione da una versione specificata di un parametro |
Scrittura |
|||
Concede l'autorizzazione per aggiornare un'associazione ed eseguire immediatamente l'associazione sulle destinazioni specificate |
Scrittura |
|||
Concede l'autorizzazione per aggiornare lo stato del documento SSM associato a un'istanza specificata |
Scrittura |
|||
Concede l'autorizzazione ad aggiornare un connettore cloud specificato |
Scrittura |
|||
Concede l'autorizzazione per aggiornare uno o più valori per un documento SSM |
Scrittura |
|||
Concede l'autorizzazione per modificare la versione predefinita di un documento SSM |
Scrittura |
|||
Concede l'autorizzazione per aggiornare i metadati di un documento SSM |
Scrittura |
|||
Concede l'autorizzazione a SSM Agent per inviare un segnale heartbeat al servizio Systems Manager nel cloud |
Scrittura |
|||
Concede l'autorizzazione per aggiornare una finestra di manutenzione specificata |
Scrittura |
|||
Concede l'autorizzazione per aggiornare una destinazione della finestra di manutenzione specificata |
Scrittura |
|||
Concede l'autorizzazione per aggiornare un'attività della finestra di manutenzione specificata |
Scrittura |
|||
Concede l'autorizzazione per assegnare o modificare il ruolo IAM assegnato a un'istanza gestita specificata |
Scrittura |
|||
Concede il permesso di modificare o modificare un OpsItem |
Scrittura |
|||
Concede il permesso di aggiornare un oggetto OpsMetadata |
Scrittura |
|||
Concede l'autorizzazione per aggiornare una base di patch specificata |
Scrittura |
|||
Concede l'autorizzazione per aggiornare una sincronizzazione dei dati della risorsa. |
Scrittura |
|||
Concede l'autorizzazione ad aggiornare le impostazioni del servizio per un Account AWS |
Scrittura |
|||
Concede l'autorizzazione a verificare che uno specifico connettore cloud funzioni correttamente e a recuperare eventuali risultati o problemi di convalida rilevati |
Lettura |
Permission-only azioni per AWS Systems Manager
Le seguenti azioni sono definite da AWS Systems Manager ma non sono richiamabili direttamente tramite alcuna operazione API. Possono essere utilizzate solo nelle dichiarazioni politiche IAM per concedere o negare le autorizzazioni.
| Azioni | Description | Tipi di risorsa (*obbligatorio) | Chiavi di condizione | Livello di accesso |
|---|---|---|---|---|
Concede l'autorizzazione per visualizzare i dettagli di un calendario specifico |
Lettura |
|||
Concede l'autorizzazione a Systems Manager e SSM Agent per determinare i requisiti di installazione del pacchetto per un'istanza (chiamata interna di Systems Manager) |
Lettura |
|||
Concede l'autorizzazione a un calendario specifico create/edit |
Scrittura |
|||
Concede l'autorizzazione a SSM Agent per generare un report dei risultati di specifiche richieste degli agenti (chiamata interna di Systems Manager) |
Lettura |
|||
Concede l'autorizzazione a SSM Agent per recuperare le credenziali temporanee per accedere al nodo gestito (chiamata interna di Systems Manager) |
Scrittura |
|||
Concede l'autorizzazione a SSM Agent per aggiornare lo stato dell'associazione attualmente in esecuzione (chiamata interna di Systems Manager) |
Scrittura |
|||
Concede l'autorizzazione a SSM Agent per aggiornare la chiave pubblica del nodo gestito dopo aver ruotato la coppia di chiavi (chiamata interna di Systems Manager) |
Scrittura |
|||
Tipi di risorse definiti da AWS Systems Manager
I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM.
| Tipi di risorse | ARN | Chiavi di condizione |
|---|---|---|
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :association/$ {} AssociationId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :automation-definition/$ {} :$ {} AutomationDefinitionName VersionId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :automation-execution/$ {} AutomationExecutionId |
||
arn: $ {Partizione} :s3: ::$ {} BucketName |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :cloud-connector/$ {} CloudConnectorId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :document/$ {} DocumentName |
||
arn: $ {Partition} :iam: :$ {Account} :ruolo/$ {} RoleName |
||
arn: $ {Partition} :ec2: $ {Region} :$ {Account} :instance/$ {} InstanceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :manutenzione/$ {} ResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :istanza gestita/$ {} InstanceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :managed-instance-inventory/$ {} InstanceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :opsitem/$ {} ResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account}: opsitemgroup/default |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :opsmetadata/$ {} ResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :parameter/$ {} ParameterNameWithoutLeadingSlash |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :patchbaseline/$ {} PatchBaselineIdResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :resource-data-sync/$ {} SyncName |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :servicesetting/$ {} ResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :session/$ {} SessionId |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :task/$ {} TaskId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :windowtarget/$ {} WindowTargetId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :windowtask/$ {} WindowTaskId |
Chiavi di condizione per AWS Systems Manager
AWS Systems Manager definisce le seguenti chiavi di condizione che possono essere utilizzate nell'Conditionelemento di una policy IAM.
| Chiavi di condizione | Descrizione | Tipo |
|---|---|---|
Filtra l'accesso in base alle richieste ‘Create' basate sul set di valori consentito per i tag specificati |
Stringa |
|
Filtra l'accesso in base a una coppia chiave-valore di tag assegnata alla risorsa AWS |
Stringa |
|
Filtra l'accesso in base alle richieste d'Create' a seconda che i tag obbligatori siano inclusi nella richiesta |
ArrayOfString |
|
Filtra l'accesso in base all'ARN dell'istanza da cui proviene la richiesta |
ARN |
|
Filtra l'accesso verificando che un utente abbia accesso all'ID della richiesta di accesso specificato nella richiesta |
Stringa |
|
Filtra l'accesso verificando che un utente disponga dell'autorizzazione per avviare i flussi di lavoro di Change Manager senza una fase di revisione (ad eccezione degli eventi di blocco delle modifiche) |
Bool |
|
Filtra l'accesso verificando che un utente disponga dell'autorizzazione per accedere a un documento appartenente a una specifica categoria |
ArrayOfString |
|
Filtra l'accesso verificando che un utente sia autorizzato ad accedere a un documento appartenente a un tipo di documento specifico. Disponibile solo nelle partizioni «aws», «aws-cn» e «aws-us-gov» |
Stringa |
|
Filtra l'accesso verificando che un utente sia autorizzato ad accedere a una versione specifica di un documento |
ArrayOfString |
|
Filtra l'accesso verificando che un utente abbia accesso anche a InventoryType quanto specificato nella richiesta |
ArrayOfString |
|
Filtra l'accesso in base all' Account AWS ID associato al nodo gestito che effettua la richiesta. Disponibile solo nelle policy degli endpoint VPC e nelle policy di controllo dei servizi (SCP) |
Stringa |
|
Filtra l'accesso in base all'ID AWS Organizations associato al nodo gestito che effettua la richiesta. Disponibile solo nelle policy degli endpoint VPC e nelle policy di controllo dei servizi (SCP) |
Stringa |
|
Filtra l'accesso controllando se i parametri di Systems Manager possono essere sovrascritti |
Stringa |
|
Filtra l'accesso controllando se un'entità IAM (utente o ruolo) può creare o aggiornare un parametro che include una politica dei parametri |
Stringa |
|
Filtra l'accesso in base ai parametri di Systems Manager creati in una struttura gerarchica |
Stringa |
|
Filtra l'accesso verificando che un utente disponga dell'autorizzazione per accedere al documento di configurazione predefinito di Session Manager o al documento di configurazione personalizzato specificato in una richiesta |
Bool |
|
Filtra l'accesso verificando l'Amazon Resource Name (ARN) AWS dell'istanza gestita di Systems Manager da cui viene effettuata la richiesta. Questa chiave non è presente quando la richiesta proviene da un'istanza gestita autenticata con un ruolo IAM associato al profilo dell'istanza EC2 |
ARN |
|
Filtra l'accesso verificando che un utente abbia accesso anche a ResourceDataSync SyncType quanto specificato nella richiesta |
Stringa |
|
Filtra l'accesso in base a una coppia chiave-valore di tag assegnata alla risorsa Systems Manager |
Stringa |
|
Filtra l'accesso in base a una coppia chiave-valore di tag assegnata alla risorsa di sessione Systems Manager |
Stringa |
|
Filtra l'accesso in base a una coppia chiave-valore di tag assegnata alla risorsa di sessione Systems Manager |
Stringa |
|
Filtra l'accesso in base a una coppia chiave-valore di tag assegnata alla risorsa Systems Manager |
Stringa |
