Systems Manager コンソールによって作成された IAM ロール
Systems Manager AWS マネジメントコンソール で Cloud Connector を作成すると、Systems Manager はユーザーに代わって AWS アカウント で 3 つの IAM ロールを作成して設定します。また、コネクタを介して登録された Azure 仮想マシンにマネージドインスタンスロールを割り当てます。ロールは、OpenID Connect (OIDC) フェデレーションを通じて Systems Manager、State Manager、Automation、Azure 間の信頼チェーンを確立します。この信頼チェーンにより、Systems Manager は存続期間の長いシークレットなしで Azure 仮想マシンに対して Automation ランブックを実行できます。
各ロール名にはパターン SSM-Azure が使用されます。ここで、Type-connector-name-id8connector-name は指定した表示名 (英数字、ダッシュ、アンダースコアにサニタイズされ、IAM の 64 文字のロール名制限に合わせて切り捨てられる) であり、id8 は UUID の最初の 8 文字です。ロールは IAM /service-role/ パス内で作成されます。
コンソールでは次の順序でロールが作成されます。
-
Azure フェデレーションロール。最初は Systems Manager サービスプリンシパルのみを信頼されたエンティティとして指定する信頼ポリシーがあります。
-
オートメーション継承ロールとオートメーションディスパッチロール。
-
次に、コンソールが Azure フェデレーションロールの信頼ポリシーを更新して、オートメーション継承ロールとオートメーションディスパッチロールを信頼されたプリンシパルとして追加します。この更新後、信頼ポリシーは Azure フェデレーションロール に示されているポリシーになります。
注記
Systems Manager コンソールは、Cloud Connector セットアップウィザード中にのみこれらのロールを作成します。AWS CLI を使用して Cloud Connector を作成する場合は (ステップ 2: Systems Manager Cloud Connector を作成する で説明されている)、ロールを自力で作成する必要があります。このセクションの信頼ポリシーとアクセス許可ポリシーは、ロールを作成し直す場合に使用できる JSON を示しています。ロールを作成し直す場合は以下の作業を行います。
-
/service-role/IAM パス内で 3 つのロール (Azure フェデレーション、オートメーション継承、オートメーションディスパッチ) をすべて作成します。アクセス許可ポリシーと Azure フェデレーションロールの信頼ポリシーは、このパスを含む ARN によってロールを参照します。 -
オートメーション継承ロールとオートメーションディスパッチロールにプリンシパルタグ
caller=SSMを付けます。Azure フェデレーションロールの信頼ポリシーにはこのタグが必須です。
これらのロールが行うすべての API コールは AWS CloudTrail (CloudTrail) に記録されます。CloudTrail での Systems Manager ログ記録の詳細については、「AWS CloudTrail による AWS Systems Manager API コールのログ記録」を参照してください。
