View a markdown version of this page

Ruoli IAM creati dalla console Systems Manager - AWS Systems Manager

• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione di Amazon CloudWatch Dashboard.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Ruoli IAM creati dalla console Systems Manager

Quando crei un Cloud Connector in Systems Manager Console di gestione AWS, Systems Manager crea e configura tre ruoli IAM per tuo Account AWS conto. Assegna inoltre un ruolo di istanza gestita alle macchine virtuali di Azure registrate tramite il connettore. I ruoli stabiliscono la catena di fiducia tra Systems ManagerState Manager, Automation e Azure tramite la federazione OpenID Connect (OIDC). Questa catena di fiducia consente a Systems Manager di eseguire i runbook di automazione sulle tue macchine virtuali di Azure senza segreti di lunga durata.

Ogni nome di ruolo usa lo schemaSSM-AzureType-connector-name-id8, dove si connector-name trova il nome visualizzato che hai fornito (ottimizzato con caratteri alfanumerici, trattini e caratteri di sottolineatura, quindi troncato per soddisfare il limite di 64 caratteri dei nomi di ruolo di IAM) e corrisponde ai primi otto caratteri di un UUID. id8 /service-role/I ruoli vengono creati nel percorso IAM.

La console crea i ruoli in questo ordine:

  1. Ruolo federativo di Azure, con una policy di fiducia che inizialmente nomina solo il responsabile del servizio Systems Manager come entità affidabile.

  2. L'automazione assume il ruolo e il ruolo di distribuzione dell'automazione.

  3. La console aggiorna quindi la policy di attendibilità del ruolo federativo di Azure per aggiungere il ruolo automation assume e il ruolo Automation Dispatch come trusted principal. Dopo questo aggiornamento, la policy di attendibilità è quella mostrata in. Ruolo federativo di Azure

Nota

La console Systems Manager crea questi ruoli solo durante la procedura guidata di configurazione di Cloud Connector. Se crei un Cloud Connector con AWS CLI (come descritto inFase 2: Creare un Systems Manager Cloud Connector), devi creare i ruoli tu stesso. Le politiche di fiducia e autorizzazione in questa sezione mostrano il codice JSON che puoi usare per ricrearli. Se ricrei i ruoli, procedi come segue:

  • Crea tutti e tre i ruoli (federazione di Azure, automation assume e automation dispatch) nel /service-role/ percorso IAM. Le policy di autorizzazione e la politica di fiducia del ruolo federativo di Azure fanno riferimento ai ruoli in base agli ARN che includono questo percorso.

  • Contrassegna il ruolo di assunzione dell'automazione e il ruolo di invio dell'automazione con il tag principale. caller=SSM La policy di attendibilità del ruolo federativo di Azure richiede questo tag.

Tutte le chiamate API effettuate da questi ruoli vengono registrate su AWS CloudTrail ()CloudTrail. Per informazioni sull'accesso a Systems Manager CloudTrail, vedereRegistrazione delle chiamate AWS Systems Manager API con AWS CloudTrail.