AWS Systems Manager のアクション、リソース、および条件キー
AWS Systems Manager (サービスプレフィックス: ssm) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のオペレーション、リソース、アクション、および条件キーが用意されています。
リファレンス:
-
このサービスを設定する方法について説明します。
-
このサービスで使用可能な API オペレーションのリストを表示します。
-
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。
-
このサービスのプログラムによるサービス認可リファレンス
を表示します。
トピック
AWS Systems Manager で定義される API オペレーション
次の表は、API オペレーションを認可する IAM アクションにマッピングします。指定された API とアクションの静的値を持つ条件キーのみが一覧表示されます。各アクションでサポートされている条件キーの完全なセットについては、「アクション」表を参照してください。
| 運用 | IAM アクション | 条件キー | 指定できる値 (複数可) | アクセスレベル |
|---|---|---|---|---|
|
AddTagsToResource |
タグ付け、書き込み |
|||
|
AssociateOpsItemRelatedItem |
書き込み |
|||
|
CancelCommand |
書き込み |
|||
|
CancelMaintenanceWindowExecution |
書き込み |
|||
|
CreateActivation |
タグ付け、書き込み |
|||
書き込み |
||||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
CreateAssociation |
タグ付け、書き込み |
|||
書き込み |
||||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
CreateAssociationBatch |
書き込み |
|||
書き込み |
||||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
CreateCloudConnector |
タグ付け、書き込み |
|||
書き込み |
||||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
CreateDocument |
タグ付け、書き込み |
|||
書き込み |
||||
読み取り |
||||
iam:PassedToService |
justintimeaccess.ssm.amazonaws.com、ssm.amazonaws.com |
書き込み |
||
|
CreateMaintenanceWindow |
タグ付け、書き込み |
|||
書き込み |
||||
|
CreateOpsItem |
タグ付け、書き込み |
|||
書き込み |
||||
|
CreateOpsMetadata |
タグ付け、書き込み |
|||
書き込み |
||||
|
CreatePatchBaseline |
タグ付け、書き込み |
|||
書き込み |
||||
|
CreateResourceDataSync |
書き込み |
|||
|
DeleteActivation |
書き込み |
|||
|
DeleteAssociation |
書き込み |
|||
|
DeleteCloudConnector |
書き込み |
|||
|
DeleteDocument |
書き込み |
|||
|
DeleteInventory |
書き込み |
|||
|
DeleteMaintenanceWindow |
書き込み |
|||
|
DeleteOpsItem |
書き込み |
|||
|
DeleteOpsMetadata |
書き込み |
|||
|
DeleteParameter |
書き込み |
|||
|
DeleteParameters |
書き込み |
|||
|
DeletePatchBaseline |
書き込み |
|||
|
DeleteResourceDataSync |
書き込み |
|||
|
DeleteResourcePolicy |
アクセス許可管理、書き込み |
|||
|
DeregisterManagedInstance |
書き込み |
|||
|
DeregisterPatchBaselineForPatchGroup |
書き込み |
|||
|
DeregisterTargetFromMaintenanceWindow |
書き込み |
|||
|
DeregisterTaskFromMaintenanceWindow |
書き込み |
|||
|
DescribeActivations |
読み取り |
|||
|
DescribeAssociation |
読み取り |
|||
|
DescribeAssociationExecutionTargets |
読み取り |
|||
|
DescribeAssociationExecutions |
読み取り |
|||
|
DescribeAutomationExecutions |
読み取り |
|||
|
DescribeAutomationStepExecutions |
読み取り |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
DescribeAvailablePatches |
読み取り |
|||
|
DescribeDocument |
読み取り |
|||
|
DescribeDocumentPermission |
読み取り |
|||
|
DescribeEffectiveInstanceAssociations |
読み取り |
|||
|
DescribeEffectivePatchesForPatchBaseline |
読み取り |
|||
|
DescribeInstanceAssociationsStatus |
読み取り |
|||
|
DescribeInstanceInformation |
読み取り |
|||
|
DescribeInstancePatchStates |
読み取り |
|||
|
DescribeInstancePatchStatesForPatchGroup |
読み取り |
|||
|
DescribeInstancePatches |
読み取り |
|||
|
DescribeInstanceProperties |
読み取り |
|||
|
DescribeInventoryDeletions |
読み取り |
|||
|
DescribeMaintenanceWindowExecutionTaskInvocations |
リスト |
|||
|
DescribeMaintenanceWindowExecutionTasks |
リスト |
|||
|
DescribeMaintenanceWindowExecutions |
リスト |
|||
|
DescribeMaintenanceWindowSchedule |
リスト |
|||
|
DescribeMaintenanceWindowTargets |
リスト |
|||
|
DescribeMaintenanceWindowTasks |
リスト |
|||
|
DescribeMaintenanceWindows |
リスト |
|||
|
DescribeMaintenanceWindowsForTarget |
リスト |
|||
|
DescribeOpsItems |
読み取り |
|||
|
DescribeParameters |
リスト |
|||
|
DescribePatchBaselines |
リスト |
|||
|
DescribePatchGroupState |
リスト |
|||
|
DescribePatchGroups |
リスト |
|||
|
DescribePatchProperties |
リスト |
|||
|
DescribeSessions |
リスト |
|||
|
DisassociateOpsItemRelatedItem |
書き込み |
|||
|
GetAccessToken |
読み取り |
|||
|
GetAutomationExecution |
読み取り |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
GetCalendarState |
読み取り |
|||
|
GetCloudConnector |
読み取り |
|||
|
GetCommandInvocation |
読み取り |
|||
|
GetConnectionStatus |
読み取り |
|||
|
GetDefaultPatchBaseline |
読み取り |
|||
|
GetDeployablePatchSnapshotForInstance |
読み取り |
|||
|
GetDocument |
読み取り |
|||
|
GetExecutionPreview |
読み取り |
|||
|
GetInventory |
読み取り |
|||
|
GetInventorySchema |
読み取り |
|||
|
GetMaintenanceWindow |
読み取り |
|||
|
GetMaintenanceWindowExecution |
読み取り |
|||
|
GetMaintenanceWindowExecutionTask |
読み取り |
|||
|
GetMaintenanceWindowExecutionTaskInvocation |
読み取り |
|||
|
GetMaintenanceWindowTask |
読み取り |
|||
|
GetOpsItem |
読み取り |
|||
|
GetOpsMetadata |
読み取り |
|||
|
GetOpsSummary |
読み取り |
|||
|
GetParameter |
読み取り |
|||
|
GetParameterHistory |
読み取り |
|||
|
GetParameters |
読み取り |
|||
|
GetParametersByPath |
読み取り |
|||
|
GetPatchBaseline |
読み取り |
|||
|
GetPatchBaselineForPatchGroup |
読み取り |
|||
|
GetResourcePolicies |
リスト |
|||
|
GetServiceSetting |
読み取り |
|||
|
LabelParameterVersion |
書き込み |
|||
|
ListAssociationVersions |
リスト |
|||
|
ListAssociations |
リスト |
|||
|
ListCloudConnectors |
リスト |
|||
|
ListCommandInvocations |
リスト |
|||
|
ListCommands |
リスト |
|||
|
ListComplianceItems |
リスト |
|||
|
ListComplianceSummaries |
リスト |
|||
|
ListDocumentMetadataHistory |
リスト |
|||
|
ListDocumentVersions |
リスト |
|||
|
ListDocuments |
リスト |
|||
|
ListInventoryEntries |
リスト |
|||
|
ListNodes |
リスト |
|||
|
ListNodesSummary |
リスト |
|||
|
ListOpsItemEvents |
リスト |
|||
|
ListOpsItemRelatedItems |
リスト |
|||
|
ListOpsMetadata |
リスト |
|||
|
ListResourceComplianceSummaries |
リスト |
|||
|
ListResourceDataSync |
リスト |
|||
|
ListTagsForResource |
リスト |
|||
|
ModifyDocumentPermission |
アクセス許可管理、書き込み |
|||
|
PutComplianceItems |
書き込み |
|||
|
PutInventory |
書き込み |
|||
|
PutParameter |
タグ付け、書き込み |
|||
書き込み |
||||
|
PutResourcePolicy |
アクセス許可管理、書き込み |
|||
|
RegisterDefaultPatchBaseline |
書き込み |
|||
|
RegisterPatchBaselineForPatchGroup |
書き込み |
|||
|
RegisterTargetWithMaintenanceWindow |
書き込み |
|||
|
RegisterTaskWithMaintenanceWindow |
書き込み |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
RemoveTagsFromResource |
タグ付け、書き込み |
|||
|
ResetServiceSetting |
書き込み |
|||
|
ResumeSession |
書き込み |
|||
|
SendAutomationSignal |
書き込み |
|||
|
SendCommand |
書き込み |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
StartAccessRequest |
タグ付け、書き込み |
|||
書き込み |
||||
|
StartAssociationsOnce |
書き込み |
|||
|
StartAutomationExecution |
タグ付け、書き込み |
|||
書き込み |
||||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
StartChangeRequestExecution |
書き込み |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
StartExecutionPreview |
読み取り |
|||
|
StartSession |
書き込み |
|||
|
StopAutomationExecution |
書き込み |
|||
|
TerminateSession |
書き込み |
|||
|
UnlabelParameterVersion |
書き込み |
|||
|
UpdateAssociation |
書き込み |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
UpdateAssociationStatus |
書き込み |
|||
|
UpdateCloudConnector |
書き込み |
|||
|
UpdateDocument |
書き込み |
|||
iam:PassedToService |
justintimeaccess.ssm.amazonaws.com、ssm.amazonaws.com |
書き込み |
||
|
UpdateDocumentDefaultVersion |
書き込み |
|||
|
UpdateDocumentMetadata |
書き込み |
|||
|
UpdateMaintenanceWindow |
書き込み |
|||
|
UpdateMaintenanceWindowTarget |
書き込み |
|||
|
UpdateMaintenanceWindowTask |
書き込み |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
UpdateManagedInstanceRole |
書き込み |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
UpdateOpsItem |
書き込み |
|||
|
UpdateOpsMetadata |
書き込み |
|||
|
UpdatePatchBaseline |
書き込み |
|||
|
UpdateResourceDataSync |
書き込み |
|||
|
UpdateServiceSetting |
書き込み |
|||
iam:PassedToService |
ssm.amazonaws.com |
書き込み |
||
|
ValidateCloudConnector |
読み取り |
AWS Systems Manager で定義されるアクション
IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
指定された AWS リソースの 1 つ以上のタグを追加または上書きするアクセス許可を付与します |
タグ付け、書き込み |
|||
OpsItem に RelatedItem を関連付けるためのアクセス許可を付与 |
書き込み |
|||
指定した Run Command コマンドをキャンセルする許可を付与 |
書き込み |
|||
進行中のメンテナンスウィンドウの実行をキャンセルする許可を付与 |
書き込み |
|||
オンプレミスサーバーと仮想マシン (VM) を Systems Manager に登録するために使用するアクティベーションを作成する許可を付与 |
書き込み |
|||
指定した Systems Manager ドキュメントを、指定したインスタンスまたは他のターゲットに関連付けるアクセス許可を付与 |
書き込み |
|||
1 つのコマンドで複数の CreateAssociation オペレーションのエントリを結合する許可を付与 |
書き込み |
|||
他のクラウド環境のインスタンスを管理するためのクラウドコネクタを作成するアクセス許可を付与します |
書き込み |
|||
Systems Manager SSM ドキュメントを作成する許可を付与 |
書き込み |
|||
メンテナンスウィンドウを作成する許可を付与 |
書き込み |
|||
OpsCenter で OpsItem を作成する許可を付与 |
書き込み |
|||
AWS リソースの OpsMetadata オブジェクトを作成するアクセス許可を付与します |
書き込み |
|||
パッチベースラインを作成する許可を付与 |
書き込み |
|||
リソースデータ同期設定を作成する許可を付与。この設定は、マネージドインスタンスからインベントリデータを定期的に収集し、Amazon S3 バケット内のデータを更新 |
書き込み |
|||
マネージドインスタンスの指定されたアクティベーションを削除する許可を付与 |
書き込み |
|||
指定した SSM ドキュメントを指定したインスタンスから関連付け解除する許可を付与 |
書き込み |
|||
指定されたクラウドコネクタを削除するアクセス許可を付与します |
書き込み |
|||
指定した SSM ドキュメントとそのインスタンスの関連付けを削除する許可を付与 |
書き込み |
|||
カスタムインベントリタイプまたは当該タイプに関連付けられているデータを削除する許可を付与 |
書き込み |
|||
指定したメンテナンスウィンドウを削除する許可を付与 |
書き込み |
|||
OpsItem を削除する許可を付与 |
書き込み |
|||
OpsMetadata オブジェクトを削除する許可を付与 |
書き込み |
|||
指定した SSM パラメータを削除する許可を付与 |
書き込み |
|||
複数の指定する SSM パラメータを削除する許可を付与 |
書き込み |
|||
指定したパッチベースラインを削除する許可を付与 |
書き込み |
|||
指定したリソースデータ同期を削除する許可を付与 |
書き込み |
|||
Systems Manager のポリシーを削除する許可を付与 |
アクセス許可管理、書き込み |
|||
Systems Manager から指定したオンプレミスサーバーまたは仮想マシン (VM) の登録を解除する許可を付与 |
書き込み |
|||
指定したパッチベースラインを、指定したパッチグループのデフォルトパッチベースラインから登録解除する許可を付与 |
書き込み |
|||
指定したターゲットをメンテナンスウィンドウから登録解除する許可を付与 |
書き込み |
|||
指定されたタスクをメンテナンスウィンドウから登録解除する許可を付与 |
書き込み |
|||
指定されたマネージドインスタンスのアクティベーションに関する詳細を表示する許可を付与（作成日時、アクティベーションを使用して登録されたインスタンスの数など） |
読み取り |
|||
指定したインスタンスまたはターゲットの指定した関連付けの詳細を表示する許可を付与 |
読み取り |
|||
指定した関連付け実行に関する情報を表示する許可を付与 |
読み取り |
|||
指定した関連付けのすべての実行を表示する許可を付与 |
読み取り |
|||
すべてのアクティブなオートメーション実行と終了したオートメーション実行の詳細を表示する許可を付与 |
読み取り |
|||
オートメーションワークフローでアクティブなステップ実行と終了したステップ実行のすべてを表示する許可を付与 |
読み取り |
|||
パッチベースラインに含める資格のあるすべてのパッチを表示する許可を付与 |
読み取り |
|||
指定した SSM ドキュメントの詳細を表示する許可を付与 |
読み取り |
|||
Systems Manager コンソールで SSM ドキュメントパラメータに関する情報を表示する許可を付与（内部 Systems Manager のアクション） |
読み取り |
|||
指定した SSM ドキュメントのアクセス許可を表示する許可を付与 |
読み取り |
|||
指定したインスタンスの現在の関連付けをすべて表示する許可を付与 |
読み取り |
|||
指定したパッチベースラインに現在関連付けられているパッチの詳細を表示する許可を付与（Windows のみ） |
読み取り |
|||
指定したインスタンスの関連付けのステータスを表示する許可を付与 |
読み取り |
|||
指定したインスタンスに関する詳細を表示する許可を付与 |
読み取り |
|||
指定したインスタンスのパッチに関するステータスの詳細を表示する許可を付与 |
読み取り |
|||
指定したパッチグループ内のインスタンスのパッチ状態の概要を記述する許可を付与 |
読み取り |
|||
指定したインスタンスのパッチに関する全般的な詳細を表示する許可を付与 |
読み取り |
|||
マネージドインスタンスのノードをレンダリングするアクセス許可をユーザーの Amazon EC2 コンソールに付与 |
読み取り |
|||
指定したインベントリ削除の詳細を表示する許可を付与 |
読み取り |
|||
メンテナンスウィンドウに対して指定したタスク実行の詳細を表示する許可を付与 |
リスト |
|||
指定したメンテナンスウィンドウの実行中に実行されたタスクの詳細を表示する許可を付与 |
リスト |
|||
指定したメンテナンスウィンドウの実行を表示する許可を付与 |
リスト |
|||
指定したメンテナンスウィンドウの今後の実行に関する詳細を表示する許可を付与 |
リスト |
|||
指定したメンテナンスウィンドウに関連付けられているターゲットのリストを表示する許可を付与 |
リスト |
|||
指定したメンテナンスウィンドウに関連付けられたタスクのリストを表示する許可を付与 |
リスト |
|||
すべてまたは指定したメンテナンスウィンドウに関する情報を表示する許可を付与 |
リスト |
|||
指定したインスタンスに関連付けられたメンテナンスウィンドウのターゲットおよびタスクに関する情報を表示する許可を付与 |
リスト |
|||
指定した OpsItems の詳細を表示する許可を付与 |
読み取り |
|||
指定した SSM パラメータの詳細を表示する許可を付与 |
リスト |
|||
指定した条件を満たすパッチベースラインに関する情報を表示する許可を付与 |
リスト |
|||
指定したパッチグループのパッチの集約ステータス詳細を表示する許可を付与 |
リスト |
|||
指定したパッチグループのパッチベースラインに関する情報を表示する許可を付与 |
リスト |
|||
指定したオペレーティングシステムおよびパッチプロパティで使用可能なパッチの詳細を表示する許可を付与 |
リスト |
|||
指定した検索条件を満たす最近の Session Manager セッションのリストを表示する許可を付与 |
リスト |
|||
OpsItem から RelatedItem の関連付けを解除するためのアクセス許可を付与 |
書き込み |
|||
Systems Manager の委任された管理者に、 の複数の AWS アカウントにわたる OpsItems に関する関連リソースの詳細を表示するアクセス許可を付与します AWS マネジメントコンソール |
読み取り |
|||
just-in-time ノードアクセスで使用する認証情報セットを返すアクセス許可を付与 |
読み取り |
|||
指定したオートメーション実行の詳細を表示する許可を付与 |
読み取り |
|||
変更カレンダーまたは変更カレンダーの一覧のカレンダーの状態を表示する許可を付与 |
読み取り |
|||
指定されたクラウドコネクタの詳細を表示するアクセス許可を付与します |
読み取り |
|||
指定した呼び出しまたはプラグインのコマンド実行に関する詳細を表示する許可を付与 |
読み取り |
|||
指定したマネージドインスタンスの Session Manager 接続ステータスを表示する許可を付与 |
読み取り |
|||
指定したオペレーティングシステムタイプの現在の既定のパッチベースラインを表示する許可を付与 |
読み取り |
|||
指定したインスタンスの現在のパッチベースラインスナップショットを取得する許可を付与 |
読み取り |
|||
指定された SSM ドキュメントの内容を表示する許可を付与 |
読み取り |
|||
指定された Automation ランブックを実行するとターゲットリソースに与える影響を示す既存のプレビューを取得するアクセス許可を付与 |
読み取り |
|||
指定した基準に従ってインスタンスインベントリの詳細を表示する許可を付与 |
読み取り |
|||
指定したインベントリ項目タイプのインベントリタイプまたは属性名のリストを表示する許可を付与 |
読み取り |
|||
指定したメンテナンスウィンドウの詳細を表示する許可を付与 |
読み取り |
|||
指定したメンテナンスウィンドウの実行に関する詳細を表示する許可を付与 |
読み取り |
|||
指定したメンテナンスウィンドウの実行タスクの詳細を表示する許可を付与 |
読み取り |
|||
特定のターゲットで実行されている特定のメンテナンスウィンドウのタスクの詳細を表示する許可を付与 |
読み取り |
|||
指定したメンテナンスウィンドウに登録されたタスクの詳細を表示する許可を付与 |
読み取り |
|||
指定した OpsItem に関する情報を表示する許可を付与 |
読み取り |
|||
OpsMetadata オブジェクトを取得する許可を付与 |
読み取り |
|||
指定したフィルターとアグリゲータに基づいて OpsItems に関する概要情報を表示する許可を付与 |
読み取り |
|||
指定したパラメータに関する情報を表示する許可を付与 |
読み取り |
|||
指定したパラメータの詳細と変更を表示する許可を付与 |
読み取り |
|||
指定した複数のパラメータに関する情報を表示する許可を付与 |
読み取り |
|||
指定した階層内のパラメータに関する情報を表示する許可を付与 |
読み取り |
|||
指定したパッチベースラインに関する情報を表示する許可を付与 |
読み取り |
|||
指定したパッチグループの現在のパッチベースラインの ID を表示する許可を付与 |
読み取り |
|||
Systems Manager のリソースポリシーを一覧表示する許可を付与 |
リスト |
|||
AWS サービスのアカウントレベルの設定を表示するアクセス許可を付与します |
読み取り |
|||
指定したバージョンのパラメータに識別ラベルを適用する許可を付与 |
書き込み |
|||
指定した関連付けのバージョンを一覧表示する許可を付与 |
リスト |
|||
指定した SSM ドキュメントまたはマネージドインスタンスの関連付けを一覧表示する許可を付与 |
リスト |
|||
アカウントのクラウドコネクタを一覧表示するアクセス許可を付与します |
リスト |
|||
指定したインスタンスに送信されたコマンド呼び出しに関する情報を一覧表示する許可を付与 |
リスト |
|||
指定したインスタンスに送信されたコマンドを一覧表示する許可を付与 |
リスト |
|||
指定したリソース上の指定したリソースタイプに対するコンプライアンスステータスを一覧表示する許可を付与 |
リスト |
|||
指定したコンプライアンスタイプについて、準拠リソースと非準拠リソースの集計カウントを一覧表示する許可を付与 |
リスト |
|||
指定した SSM ドキュメントについてのメタデータ履歴を表示する許可を付与 |
リスト |
|||
指定したドキュメントのすべてのバージョンを一覧表示する許可を付与 |
リスト |
|||
指定した SSM ドキュメントに関する情報を表示する許可を付与 |
リスト |
|||
SSM Agent に、新しいステートマネージャーの関連付けをチェックするアクセス許可を付与（内部 Systems Manager の呼び出し） |
リスト |
|||
指定したインスタンスの指定したインベントリタイプのリストを表示する許可を付与 |
リスト |
|||
指定されたフィルターに基づいてマネージドノードの詳細を表示するアクセス許可を付与 |
リスト |
|||
指定したフィルターとアグリゲータに基づいてマネージドノードに関する概要情報を表示する許可を付与 |
リスト |
|||
OpsItemEvents を表示する許可を付与 |
リスト |
|||
OpsItem RelatedItems の詳細を表示するためのアクセス許可を付与 |
リスト |
|||
OpsMetadata オブジェクトのリストを表示する許可を付与 |
リスト |
|||
リソースレベルの集計カウントを一覧表示する許可を付与 |
リスト |
|||
アカウントのリソースデータ同期設定に関する情報を一覧表示する許可を付与 |
リスト |
|||
指定したリソースのリソースタグのリストを表示する許可を付与 |
リスト |
|||
カスタム SSM ドキュメントを指定された AWS アカウントとパブリックまたはプライベートに共有するアクセス許可を付与します |
アクセス許可管理、書き込み |
|||
指定したリソースのコンプライアンスタイプおよびその他のコンプライアンス詳細を登録する許可を付与 |
書き込み |
|||
指定した複数のマネージドインスタンスでインベントリ項目を追加または更新する許可を付与 |
書き込み |
|||
SSM パラメータを作成する許可を付与 |
書き込み |
|||
Systems Manager のリソースポリシーを作成または更新する許可を付与 |
アクセス許可管理、書き込み |
|||
オペレーティングシステムタイプの既定のパッチベースラインを指定する許可を付与 |
書き込み |
|||
Systems Manager Agent を登録するアクセス許可を付与 |
書き込み |
|||
指定したパッチグループのデフォルトのパッチベースラインを指定する許可を付与 |
書き込み |
|||
メンテナンスウィンドウでターゲットを登録する許可を付与 |
書き込み |
|||
指定したメンテナンスウィンドウでタスクを登録する許可を付与 |
書き込み |
|||
指定したリソースから指定したタグキーを削除する許可を付与 |
タグ付け、書き込み |
|||
のサービス設定をデフォルト値 AWS アカウント にリセットするアクセス許可を付与します |
書き込み |
|||
マネージドインスタンスに Session Manager のセッションを再接続する許可を付与 |
書き込み |
|||
指定したオートメーション実行の現在の動作やステータスを変更するための信号を送信する許可を付与 |
書き込み |
|||
指定した 1 つ以上のマネージドインスタンスでコマンドを実行する許可を付与 |
bucket (バケット) |
書き込み |
||
just-in-time ノードアクセスセッションのワークフローを開始するアクセス許可を付与 |
書き込み |
|||
指定した関連付けを手動で実行する許可を付与 |
書き込み |
|||
オートメーションドキュメントの実行を開始する許可を付与 |
書き込み |
|||
自動化ドキュメントの実行を開始する許可を付与 |
書き込み |
|||
指定された Automation ランブックを実行するとターゲットリソースに与える影響を示すプレビューを作成するアクセス許可を付与 |
読み取り |
|||
セッションマネージャーセッションの指定したターゲットへの接続を開始する許可を付与 |
書き込み |
|||
既に進行中の指定したオートメーションの実行を停止する許可を付与 |
書き込み |
|||
インスタンスへの Session Manager 接続を永続的に終了するアクセス許可を付与 |
書き込み |
|||
指定済みバージョンのパラメータから識別ラベルを削除する許可を付与 |
書き込み |
|||
指定したターゲットで関連付けを更新し、関連付けをただちに実行する許可を付与 |
書き込み |
|||
指定したインスタンスに関連付けられている SSM ドキュメントのステータスを更新する許可を付与 |
書き込み |
|||
指定されたクラウドコネクタを更新する許可を付与 |
書き込み |
|||
SSM ドキュメントの 1 つ以上の値を更新する許可を付与 |
書き込み |
|||
SSM ドキュメントのデフォルトバージョンを変更する許可を付与 |
書き込み |
|||
SSM ドキュメントのメタデータを更新する許可を付与 |
書き込み |
|||
ハートビート信号をクラウド内の Systems Manager サービスに送信する SSM Agent に許可を付与 |
書き込み |
|||
指定したメンテナンスウィンドウを更新する許可を付与 |
書き込み |
|||
メンテナンスウィンドウターゲットを更新する許可を付与 |
書き込み |
|||
メンテナンスウィンドウタスクを更新する許可を付与 |
書き込み |
|||
指定したマネージドインスタンスに割り当てられた IAM ロールを割り当てまたは変更する許可を付与 |
書き込み |
|||
OpsItem を編集または変更する許可を付与 |
書き込み |
|||
OpsMetadata オブジェクトを更新する許可を付与 |
書き込み |
|||
指定したパッチベースラインを更新する許可を付与 |
書き込み |
|||
リソースデータの同期を更新する許可を付与 |
書き込み |
|||
のサービス設定を更新するアクセス許可を付与します AWS アカウント |
書き込み |
|||
指定されたクラウドコネクタが正しく機能していることを検証し、検出された検証結果または問題を取得するアクセス許可を付与します |
読み取り |
AWS Systems Manager のアクセス許可のみのアクション
以下のアクションは AWS Systems Manager によって定義されますが、API オペレーションから直接呼び出すことはできません。アクセス許可を付与または拒否するには、IAM ポリシーステートメントでのみ使用できます。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
特定のカレンダーの詳細を表示する許可を付与 |
読み取り |
|||
Systems Manager および SSM Agent に、インスタンスのパッケージのインストール要件を決定する許可を付与（内部 Systems Manager の呼び出し） |
読み取り |
|||
特定のカレンダーを作成/編集する許可を付与 |
書き込み |
|||
SSM Agentに、 特定のエージェントリクエスト（内部 Systems Manager の呼び出し）の結果のレポートを生成する許可を付与 |
読み取り |
|||
マネージドノードにアクセスするための一時的な認証情報を取得するアクセス許可を SSM エージェントに付与します (内部 Systems Manager 呼び出し) |
書き込み |
|||
現在実行中の関連付けのステータスを更新するSSM Agentに許可を付与（内部 Systems Manager の呼び出し） |
書き込み |
|||
キーペアをローテーションした後にマネージドノードのパブリックキーを更新するアクセス許可を SSM エージェントに付与します (内部 Systems Manager 呼び出し) |
書き込み |
|||
AWS Systems Manager で定義されるリソースタイプ
以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。
| リソースタイプ: | ARN | 条件キー |
|---|---|---|
arn:${Partition}:ssm:${Region}:${Account}:association/${AssociationId} |
||
arn:${Partition}:ssm:${Region}:${Account}:automation-definition/${AutomationDefinitionName}:${VersionId} |
||
arn:${Partition}:ssm:${Region}:${Account}:automation-execution/${AutomationExecutionId} |
||
arn:${Partition}:s3:::${BucketName} |
||
arn:${Partition}:ssm:${Region}:${Account}:cloud-connector/${CloudConnectorId} |
||
arn:${Partition}:ssm:${Region}:${Account}:document/${DocumentName} |
||
arn:${Partition}:iam::${Account}:role/${RoleName} |
||
arn:${Partition}:ec2:${Region}:${Account}:instance/${InstanceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:maintenancewindow/${ResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:managed-instance/${InstanceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:managed-instance-inventory/${InstanceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:opsitem/${ResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:opsitemgroup/default |
||
arn:${Partition}:ssm:${Region}:${Account}:opsmetadata/${ResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:parameter/${ParameterNameWithoutLeadingSlash} |
||
arn:${Partition}:ssm:${Region}:${Account}:patchbaseline/${PatchBaselineIdResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:resource-data-sync/${SyncName} |
||
arn:${Partition}:ssm:${Region}:${Account}:servicesetting/${ResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:session/${SessionId} |
||
arn:${Partition}:ecs:${Region}:${Account}:task/${TaskId} |
||
arn:${Partition}:ssm:${Region}:${Account}:windowtarget/${WindowTargetId} |
||
arn:${Partition}:ssm:${Region}:${Account}:windowtask/${WindowTaskId} |
AWS Systems Manager の条件キー
AWS Systems Manager は、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。
| 条件キー | 説明 | タイプ |
|---|---|---|
指定したタグで許可されている値のセットに基づいて「作成」リクエストでアクセスをフィルタリング |
String |
|
AWS リソースに割り当てられたタグキーと値のペアに基づいてアクセスをフィルタリングします |
String |
|
必須タグがリクエストに含まれているかどうかに基づいて、「作成」リクエストでアクセスをフィルタリング |
ArrayOfString |
|
リクエストが発生したインスタンスの ARN によってアクセスをフィルタリングします |
ARN |
|
リクエストで指定されたリクエスト ID にユーザーがアクセスできることを確認して、アクセスをフィルタリング |
String |
|
ユーザーがレビューステップなしで (変更フリーズイベントは例外) 、Change Manager ワークフローを開始するアクセス可能を持っていることを確認して、アクセスをフィルタリング |
Bool |
|
ユーザーが特定のカテゴリに属するドキュメントにアクセスする許可を持っていることを確認して、アクセスをフィルタリング |
ArrayOfString |
|
ユーザーが特定のドキュメントタイプに属するドキュメントにアクセスする許可を持っていることを確認して、アクセスをフィルタリングします。「aws」、「aws-cn」、「aws-us-gov」パーティションでのみ使用可能 |
String |
|
ユーザーがドキュメントの特定のバージョンにアクセスするアクセス許可を持っていることを確認して、アクセスをフィルタリングします |
ArrayOfString |
|
リクエストで指定された InventoryType にユーザーがアクセスできることを確認して、アクセスをフィルタリングします |
ArrayOfString |
|
リクエストを行うマネージドノードに関連付けられた AWS アカウント ID でアクセスをフィルタリングします。VPC エンドポイントポリシーとサービスコントロールポリシー (SCPsでのみ使用可能 |
String |
|
リクエストを行うマネージドノードに関連付けられた AWS Organizations ID でアクセスをフィルタリングします。VPC エンドポイントポリシーとサービスコントロールポリシー (SCPsでのみ使用可能 |
String |
|
Systems Manager のパラメータを上書きできるかどうかの制御によって、アクセスをフィルタリング |
String |
|
IAM エンティティ (ユーザーまたはロール) がパラメータポリシーを含むパラメータを作成または更新できるかどうかを制御することでアクセスをフィルタリングする |
String |
|
階層構造で作成された Systems Manager のパラメータによってアクセスをフィルタリング |
String |
|
ユーザーがデフォルトの Session Manager 設定ドキュメントまたはリクエストで指定されたカスタム設定ドキュメントにアクセスする権限を持っていることを確認して、アクセスをフィルタリング |
Bool |
|
リクエスト元の AWS Systems Manager マネージドインスタンスの Amazon リソースネーム (ARN) を検証してアクセスをフィルタリングします。EC2 インスタンスプロファイルに関連付けられた IAM ロールで認証されたマネージドインスタンスからリクエストが送信された場合、このキーは存在しません。 |
ARN |
|
リクエストで指定された ResourceDataSync SyncType にユーザーがアクセスできることを確認して、アクセスをフィルタリング |
String |
|
Systems Manager リソースに割り当てられたタグのキーおよび値のペアによってアクセスをフィルタリング |
String |
|
Systems Manager セッションリソースに割り当てられたタグのキーおよび値のペアに基づいてアクセスをフィルタリングします |
String |
|
Systems Manager セッションリソースに割り当てられたタグのキーおよび値のペアに基づいてアクセスをフィルタリングします |
String |
|
Systems Manager リソースに割り当てられたタグのキーおよび値のペアに基づいてアクセスをフィルタリング |
String |
