Esempi di policy AWS Systems Manager di basate su identità - AWS Systems Manager
Best practice per le policyUtilizzo della consoleEsempio: autorizzazione a consentire agli utenti di visualizzare le proprie autorizzazioniEsempio: autorizzazione a leggere e descrivere singoli parametriEsempi di policy gestite dal clienteVisualizzazione di documenti Systems Manager in base ai tag

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di policy AWS Systems Manager di basate su identità

Per impostazione predefinita, le entità AWS Identity and Access Management (IAM) (utenti e ruoli) non dispongono dell'autorizzazione per creare o modificare AWS Systems Manager risorse. Inoltre, non possono eseguire attività utilizzando la console Systems Manager, AWS Command Line Interface (AWS CLI) o AWS l'API. Un amministratore deve creare le policy IAM che concedono a utenti e ruoli l'autorizzazione per eseguire operazioni API specifiche sulle risorse specificate di cui hanno bisogno. L'amministratore devi quindi collegare queste policy a utenti o gruppi che richiedono tali autorizzazioni.

Di seguito è riportato un esempio di politica di autorizzazioni che consente a un utente di eliminare documenti con nomi che iniziano con MyDocument- negli Stati Uniti orientali (Ohio) (us-east-2). Regione AWS

JSON
{
  "Version":"2012-10-17",		 	 	 
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "ssm:DeleteDocument"
      ],
      "Resource" : [
        "arn:aws:ssm:us-east-1:111122223333:document/MyDocument-*"
      ]
    }
  ]
}

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consultare Creating Policies (Creazione di policy) nella Guida per l'utente di IAM.

Argomenti

Best practice per le policy

Le policy basate su identità determinano se qualcuno può creare, accedere o eliminare risorse Systems Manager nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l' Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:

  • Inizia con le policy AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere autorizzazioni a utenti e carichi di lavoro, utilizza le politiche gestite che concedono le autorizzazioni per molti casi d'uso comuni.AWS Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per maggiori informazioni, consultare Policy gestite da AWS o Policy gestite da AWS per le funzioni dei processi nella Guida per l’utente IAM.

  • Applicazione delle autorizzazioni con privilegio minimo - Quando si impostano le autorizzazioni con le policy IAM, concedere solo le autorizzazioni richieste per eseguire un’attività. È possibile farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come autorizzazioni con privilegio minimo. Per maggiori informazioni sull’utilizzo di IAM per applicare le autorizzazioni, consultare Policy e autorizzazioni in IAM nella Guida per l’utente IAM.

  • Condizioni d’uso nelle policy IAM per limitare ulteriormente l’accesso - Per limitare l’accesso a operazioni e risorse è possibile aggiungere una condizione alle policy. Ad esempio, è possibile scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzando SSL. Puoi anche utilizzare le condizioni per concedere l'accesso alle azioni del servizio se vengono utilizzate tramite uno specifico Servizio AWS, ad esempio CloudFormation. Per maggiori informazioni, consultare la sezione Elementi delle policy JSON di IAM: condizione nella Guida per l’utente IAM.

  • Utilizzo di IAM Access Analyzer per convalidare le policy IAM e garantire autorizzazioni sicure e funzionali - IAM Access Analyzer convalida le policy nuove ed esistenti in modo che aderiscano alla sintassi della policy IAM (JSON) e alle best practice di IAM. IAM Access Analyzer offre oltre 100 controlli delle policy e consigli utili per creare policy sicure e funzionali. Per maggiori informazioni, consultare Convalida delle policy per il Sistema di analisi degli accessi IAM nella Guida per l’utente IAM.

  • Richiedi l'autenticazione a più fattori (MFA): se hai uno scenario che richiede utenti IAM o un utente root nel Account AWS tuo, attiva l'MFA per una maggiore sicurezza. Per richiedere la MFA quando vengono chiamate le operazioni API, aggiungere le condizioni MFA alle policy. Per maggiori informazioni, consultare Protezione dell’accesso API con MFA nella Guida per l’utente IAM.

Per maggiori informazioni sulle best practice in IAM, consultare Best practice di sicurezza in IAM nella Guida per l’utente IAM.

Esempio: autorizzazione all'uso della console Systems Manager

Per accedere alla console di Systems Manager è necessario disporre di un insieme di autorizzazioni minimo. Queste autorizzazioni devono consentire di elencare e visualizzare i dettagli relativi alle risorse Systems Manager e ad altre risorse nel proprio Account AWS.

Se crei una policy basata su identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità IAM (utenti o ruoli) associate a tale policy.

Non è necessario consentire autorizzazioni minime per la console per gli utenti che effettuano chiamate solo verso AWS CLI o l' AWS API. Al contrario, è possibile accedere solo alle operazioni che soddisfano l'operazione API che stai cercando di eseguire.

Per garantire che utenti e ruoli possano ancora utilizzare la console Systems Manager, collega anche la policy Amazon SSMFull Access o Amazon SSMRead OnlyAccess AWS managed alle entità. Per maggiori informazioni, consultare Aggiunta di autorizzazioni a un utente nella Guida per l’utente IAM.

Esempio: autorizzazione a consentire agli utenti di visualizzare le proprie autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono cpllegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS 

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Esempio: autorizzazione a leggere e descrivere singoli parametri

Esempio Leggi e descrivi un parametro

È possibile concedere l'accesso a un parametro allegando la seguente politica a un'identità.

JSON
{
"Version":"2012-10-17",		 	 	 
"Statement": [
  {
    "Effect": "Allow",
    "Action": [
      "ssm:GetParameter",
      "ssm:DescribeParameters"
      ],
    "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/parameter-name"
  }
]
}

Esempi di policy gestite dal cliente

È possibile creare policy autonome amministrate nel proprio Account AWS. Facciamo riferimento a queste policy con il nome di policy gestite dal cliente. È possibile collegare queste politiche a più entità principali del proprio Account AWS. Quando si allega una policy a un'entità principale, è necessario fornire all'entità le autorizzazioni definite nella policy. Per ulteriori informazioni, consulta Esempi di policy gestite dal cliente nella guida per l'unte di IAM.

I seguenti esempi di policy utente concedono le autorizzazioni per varie operazioni di Systems Manager. Utilizzale per limitare l'accesso a Systems Manager per le entità IAM (utenti e ruoli). Queste politiche funzionano quando si eseguono azioni nell'Systems ManagerAPI o in AWS CLI. AWS SDKs Per gli utenti che utilizzano la console, devi concedere autorizzazioni aggiuntive specifiche per la console. Per ulteriori informazioni, consulta Esempio: autorizzazione all'uso della console Systems Manager.

Nota

Tutti gli esempi utilizzano la regione degli Stati Uniti occidentali (Oregon) (us-west-2) e contengono account fittizi. IDs L'ID dell'account non deve essere specificato nell'Amazon Resource Name (ARN) per i documenti AWS pubblici (documenti che iniziano conAWS-*).

Examples (Esempi)

Esempio 1: permettere a un utente di eseguire operazioni Systems Manager in un'unica regione

Il seguente esempio concede le autorizzazioni per eseguire le operazioni Systems Manager solo nella regione Stati Uniti orientali (Ohio) (us-east-2).

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:*"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:*"
            ]
        }
    ]
}

Esempio 2: permettere a un utente di elencare i documenti per una sola regione

Nell'esempio seguente vengono concesse autorizzazioni per elencare tutti i nomi dei documenti che iniziano con Update nella regione Stati Uniti orientali (Ohio) (us-east-2)..

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:ListDocuments"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:document/Update*"
            ]
        }
    ]
}

Esempio 3: permettere a un utente di utilizzare un documento SSM specifico per eseguire comandi su nodi specifici

La seguente della policy IAM di esempio consente all'utente di effettuare le seguenti operazioni nella regione Stati Uniti orientali (Ohio) (us-east-2):

  • Elencare documenti Systems Manager (documenti SSM) e versioni di tali documenti.

  • Visualizzare i dettagli sui documenti.

  • Inviare un comando utilizzando il documento specificato nella policy. Il nome del documento è determinato dalla seguente voce:

    arn:aws:ssm:us-east-2:aws-account-ID:document/Systems-Manager-document-name

  • Inviare un comando a tre nodi. I nodi sono determinati dalle seguenti voci nella seconda sezione Resource.

    "arn:aws:ec2:us-east-2:aws-account-ID:instance/i-02573cafcfEXAMPLE",
"arn:aws:ec2:us-east-2:aws-account-ID:instance/i-0471e04240EXAMPLE",
"arn:aws:ec2:us-east-2:aws-account-ID:instance/i-07782c72faEXAMPLE"

  • Visualizzare i dettagli di un comando dopo che è stato inviato.

  • Avviare e arrestare i flussi di lavoro in Automazione, uno strumento di AWS Systems Manager.

  • Informazioni sui flussi di lavoro di Automazione.

Se vuoi concedere un'autorizzazione utente per utilizzare questo documento per inviare comandi a un nodo per il quale l'utente dispone dell'accesso, è possibile specificare una voce simile alla seguente nella sezione Resource e rimuovere le altre voci di nodo. L'esempio seguente utilizza la regione Stati Uniti orientali (Ohio) (us-east-2).

"arn:aws:ec2:us-east-2:*:instance/*"
JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "ssm:ListDocuments",
                "ssm:ListDocumentVersions",
                "ssm:DescribeDocument",
                "ssm:GetDocument",
                "ssm:DescribeInstanceInformation",
                "ssm:DescribeDocumentParameters",
                "ssm:DescribeInstanceProperties"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ssm:SendCommand",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ec2:us-east-1:111122223333:instance/i-02573cafcfEXAMPLE",
                "arn:aws:ec2:us-east-1:111122223333:instance/i-0471e04240EXAMPLE",
                "arn:aws:ec2:us-east-1:111122223333:instance/i-07782c72faEXAMPLE",
                
                "arn:aws:ssm:us-east-1:111122223333:document/Systems-Manager-document-name"
            ]
        },
        {
            "Action": [
                "ssm:CancelCommand",
                "ssm:ListCommands",
                "ssm:ListCommandInvocations"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ec2:DescribeInstanceStatus",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:automation-definition/*"
            ]
        },
        {
            "Action": "ssm:DescribeAutomationExecutions",
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Action": [
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        }
    ]
}

Visualizzazione di documenti Systems Manager in base ai tag

È possibile utilizzare le condizioni nella policy basata sulle identità per controllare l'accesso alle risorse di Systems Manager in base ai tag. Questo esempio mostra come creare una policy che consente di visualizzare un documento SSM. Tuttavia, l'autorizzazione viene concessa solo se il valore del tag del documento Owner è quello del nome utente. Questa policy concede anche le autorizzazioni necessarie per completare questa azione nella console.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ListDocumentsInConsole",
            "Effect": "Allow",
            "Action": "ssm:ListDocuments",
            "Resource": "*"
        },
        {
            "Sid": "ViewDocumentIfOwner",
            "Effect": "Allow",
            "Action": "ssm:GetDocument",
            "Resource": "arn:aws:ssm:*:*:document/*",
            "Condition": {
                "StringEquals": {"ssm:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}

È possibile collegare questa policy agli utenti nell'account. Se un utente denominato richard-roe tenta di visualizzare un documento Systems Manager, il documento deve essere contrassegnato con Owner=richard-roe o owner=richard-roe. In caso contrario, l'accesso viene negato. La chiave di tag di condizione Owner corrisponde a Owner e owner perché i nomi delle chiavi di condizione non effettuano la distinzione tra maiuscole e minuscole. Per maggiori informazioni, consultare la sezione Elementi delle policy JSON di IAM: condizione nella Guida per l’utente IAM.