View a markdown version of this page

Crea un ruolo IAM personalizzato per Session Manager - AWS Systems Manager
Creazione di un ruolo IAM con un minimo Session Manager autorizzazioni (console)Creazione di un ruolo IAM con autorizzazioni per Session Manager e Amazon S3 e CloudWatch Logs (console)

• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione di Amazon CloudWatch Dashboard.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crea un ruolo IAM personalizzato per Session Manager

Puoi creare un ruolo AWS Identity and Access Management (IAM) che conceda Session Manager l'autorizzazione a eseguire azioni sulle tue istanze gestite di Amazon EC2. Puoi anche includere una policy per concedere le autorizzazioni necessarie per l'invio dei log di sessione ad Amazon Simple Storage Service (Amazon S3) e Amazon Logs. CloudWatch

Dopo aver creato il ruolo IAM, per informazioni su come collegare il ruolo a un'istanza, consulta Allega o sostituisci un profilo di istanza sul AWS re:Post sito web. Per ulteriori informazioni sui profili e i ruoli delle istanze IAM, consulta Utilizzo di profili di istanze nella Guida per l'utente IAM e Ruoli IAM per Amazon EC2 nella Guida per l’utente di Amazon Elastic Compute Cloud per istanze Linux. Per ulteriori informazioni sulla creazione di un ruolo di servizio IAM per macchine on-premises, consulta Creazione di un ruolo di servizio IAM richiesto per System Manager in ambiente ibrido e multicloud.

Creazione di un ruolo IAM con un minimo Session Manager autorizzazioni (console)

Utilizza la procedura seguente per creare un ruolo IAM personalizzato con una policy che fornisce solo le autorizzazioni per le operazioni del Session Manager sulle tue istanze.

Per creare un profilo di istanza con un minimo Session Manager autorizzazioni (console)

  1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nel pannello di navigazione, scegli Policy e Crea policy. (Se viene visualizzato il pulsante Inizia, sceglierlo, quindi scegli Crea policy).

  3. Scegli la scheda JSON.

  4. Sostituire il contenuto di default con la seguente policy. Per crittografare i dati della sessione utilizzando AWS Key Management Service (AWS KMS), sostituiscili key-name con l'Amazon Resource Name (ARN) AWS KMS key che desideri utilizzare.

    Nota

    Se l'ssmmessages:OpenControlChannelautorizzazione viene rimossa dalle policy allegate al profilo dell'istanza IAM o al ruolo del servizio IAM, SSM Agent sul nodo gestito perde la connettività al servizio Systems Manager nel cloud. Tuttavia, l'interruzione di una connessione può richiedere fino a 1 ora dopo la rimozione dell'autorizzazione. Si tratta dello stesso comportamento di quando il ruolo di istanza IAM o il ruolo del servizio IAM viene eliminato.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:UpdateInstanceInformation",
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/key-name"
        }
    ]
}

    Per ulteriori informazioni sull'utilizzo di una chiave KMS per crittografare i dati della sessione, consulta Attiva la crittografia delle chiavi KMS per i dati delle sessioni (console).

    Se non intendi utilizzare AWS KMS la crittografia per i dati della sessione, puoi rimuovere i seguenti contenuti dalla policy.

    ,
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "key-name"
        }

  5. Scegli Successivo: Tag.

  6. (Facoltativo) Aggiungi i tag scegliendo Aggiungi tag e inserendo i tag preferiti per la policy.

  7. Seleziona Next: Revisione.

  8. Nella pagina Rivedi policy, per l'opzione Nome specifica un nome per la policy inline, ad esempio SessionManagerPermissions.

  9. (Facoltativo) In Descrizione, inserisci una descrizione per la policy.

  10. Scegli Crea policy.

  11. Nel pannello di navigazione, scegli Ruoli e quindi Crea ruolo.

  12. Sulla pagina Crea ruolo, scegli AWS servizio, e per Caso d'uso, scegli EC2.

  13. Scegli Avanti.

  14. Nella pagina Aggiungi autorizzazioni, seleziona la casella di controllo a sinistra del nome della policy appena creata, ad esempio SessionManagerPermissions.

  15. Scegli Avanti.

  16. Nella pagina Rinomina, revisione e creazione, per Nome ruolo immettere un nome per il ruolo IAM, ad esempio MySessionManagerRole.

  17. (Facoltativo) Per Descrizione ruolo, immetti una descrizione per il profilo dell'istanza.

  18. (Facoltativo) Aggiungi i tag scegliendo Aggiungi tag e inserendo i tag preferiti per il ruolo.

    Scegliere Crea ruolo.

Per informazioni sulle operazioni di ssmmessages, consulta Referenza: ec2messages, ssmmessages e altre operazioni API.

Creazione di un ruolo IAM con autorizzazioni per Session Manager e Amazon S3 e CloudWatch Logs (console)

Utilizza la procedura seguente per creare un ruolo IAM personalizzato con una policy che fornisce le autorizzazioni per le operazioni del Session Manager sulle tue istanze. La policy fornisce anche le autorizzazioni necessarie per l'archiviazione dei log di sessione nei bucket Amazon Simple Storage Service (Amazon S3) e nei gruppi di log di Amazon CloudWatch Logs.

Importante

Per eseguire l'output dei log di sessione su un bucket Amazon S3 appartenente a un Account AWS diverso, devi aggiungere l'autorizzazione s3:PutObjectAcl alla policy del ruolo IAM. Inoltre, devi assicurarti che la policy del bucket conceda l'accesso tra più account al ruolo IAM utilizzato dall'account proprietario per concedere le autorizzazioni di Systems Manager per le istanze gestite. Se il bucket utilizza la crittografia Key Management Service (KMS), anche la policy KMS del bucket deve concedere questo accesso multi-account. Per ulteriori informazioni sulla configurazione di autorizzazioni del bucket multi-account in Amazon S3, consulta Concessione di autorizzazioni del bucket multi-account nella Guida per l'utente di Amazon Simple Storage Service. Se queste autorizzazioni multi-account non vengono aggiunte, l'account proprietario del bucket Amazon S3 non è in grado di accedere ai log di output della sessione.

Per informazioni su come specificare le preferenze di archiviazione per i log delle sessioni, consulta Abilitazione e disabilitazione della registrazione di sessione.

Per creare un ruolo IAM con autorizzazioni per Session Manager e Amazon S3 e CloudWatch Logs (console)

  1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nel pannello di navigazione, scegli Policy e Crea policy. (Se viene visualizzato il pulsante Inizia, sceglierlo, quindi scegli Crea policy).

  3. Scegli la scheda JSON.

  4. Sostituire il contenuto di default con la seguente policy. Sostituisci ogni example resource placeholder con le tue informazioni.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel",
                "ssm:UpdateInstanceInformation"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/s3-prefix/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/key-name"
        },
        {
            "Effect": "Allow",
            "Action": "kms:GenerateDataKey",
            "Resource": "*"
        }
    ]
}

  5. Scegli Successivo: Tag.

  6. (Facoltativo) Aggiungi i tag scegliendo Aggiungi tag e inserendo i tag preferiti per la policy.

  7. Seleziona Next: Revisione.

  8. Nella pagina Rivedi policy, per l'opzione Nome specifica un nome per la policy inline, ad esempio SessionManagerPermissions.

  9. (Facoltativo) In Descrizione, inserisci una descrizione per la policy.

  10. Scegli Crea policy.

  11. Nel pannello di navigazione, scegli Ruoli e quindi Crea ruolo.

  12. Sulla pagina Crea ruolo, scegli AWS servizio, e per Caso d'uso, scegli EC2.

  13. Scegli Avanti.

  14. Nella pagina Aggiungi autorizzazioni, seleziona la casella di controllo a sinistra del nome della policy appena creata, ad esempio SessionManagerPermissions.

  15. Scegli Avanti.

  16. Nella pagina Rinomina, revisione e creazione, per Nome ruolo immettere un nome per il ruolo IAM, ad esempio MySessionManagerRole.

  17. (Facoltativo) In Descrizione del ruolo, immetti una descrizione per il nuovo ruolo.

  18. (Facoltativo) Aggiungi i tag scegliendo Aggiungi tag e inserendo i tag preferiti per il ruolo.

  19. Scegliere Crea ruolo.