Configurazione per Assume Role for Systems Manager - AWS Systems Manager
Per creare un ruolo secondario per Systems Manager Quick Setup:Policy di autorizzazione

• non AWS Systems ManagerChange Manager è più aperto a nuovi clienti. I clienti esistenti possono continuare a utilizzare il servizio normalmente. Per ulteriori informazioni, vedere Modifica della AWS Systems ManagerChange Manager disponibilità.

 

• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione di Amazon CloudWatch Dashboard.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione per Assume Role for Systems Manager

Per creare un ruolo secondario per Systems Manager Quick Setup:

Systems Manager Quick Setup richiede un ruolo che consenta a Systems Manager di eseguire azioni in modo sicuro nell'account. Questo ruolo concede a Systems Manager le autorizzazioni necessarie per eseguire comandi sulle istanze e configurare EC2 istanze, ruoli IAM e altre risorse di Systems Manager per conto dell'utente.

  1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nel riquadro di navigazione, scegli Policies, quindi Crea policy

  3. Aggiungi la SsmOnboardingInlinePolicy policy utilizzando il codice JSON riportato di seguito. (Questa policy abilita le azioni necessarie per associare le autorizzazioni del profilo di istanza alle istanze specificate. Ad esempio, consente la creazione di profili di istanza e la loro associazione alle istanze). EC2

  4. Una volta completato, nel riquadro di navigazione, scegli Ruoli, quindi scegli Crea ruolo.

  5. Per il tipo di entità attendibile, mantienilo come predefinito (servizio).

  6. In Use case, scegli Systems Manager, quindi scegli Avanti.

  7. Nella pagina Aggiungi autorizzazioni:

  8. Aggiungi la politica SsmOnboardingInlinePolicy

  9. Seleziona Next (Successivo).

  10. Per Nome ruolo, inserisci un nome descrittivo (ad esempio,AmazonSSMRoleForAutomationAssumeQuickSetup).

  11. (Facoltativo) Aggiungi tag per identificare e organizzare il ruolo.

  12. Scegli Crea ruolo.

Importante

Il ruolo deve includere una relazione di fiducia conssm.amazonaws.com. Questo viene configurato automaticamente quando si seleziona Systems Manager come servizio nel passaggio 4.

Dopo aver creato il ruolo, è possibile selezionarlo durante la configurazione di Quick Setup. Il ruolo consente a Systems Manager di gestire EC2 istanze, ruoli IAM e altre risorse di Systems Manager ed eseguire comandi per conto dell'utente, mantenendo al contempo la sicurezza attraverso autorizzazioni specifiche e limitate.

Policy di autorizzazione

SsmOnboardingInlinePolicy

La seguente politica definisce le autorizzazioni per la configurazione rapida di Systems Manager:

{
    "Version": "2012-10-17" 		 	 	 ,
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateInstanceProfile",
                "iam:ListInstanceProfilesForRole",
                "ec2:DescribeIamInstanceProfileAssociations",
                "iam:GetInstanceProfile",
                "iam:AddRoleToInstanceProfile"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssociateIamInstanceProfile"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "Null": {
                    "ec2:InstanceProfile": "true"
                },
                "ArnLike": {
                    "ec2:NewInstanceProfile": "arn:aws:iam::*:instance-profile/[INSTANCE_PROFILE_ROLE_NAME]"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/[INSTANCE_PROFILE_ROLE_NAME]",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        }
    ]
        }
Relazioni di trust

Questo viene aggiunto automaticamente tramite i passaggi precedenti

{
    "Version": "2012-10-17" 		 	 	 ,
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
     ]
        }