• AWS Systems Manager CloudWatch ダッシュボードは、2026 年 4 月 30 日以降は利用できなくなります。お客様は、これまでと同様に Amazon CloudWatch コンソールを使用して、Amazon CloudWatch ダッシュボードの表示、作成、管理を継続できます。詳細については、「[Amazon CloudWatch ダッシュボードのドキュメント](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html)」を参照してください。 # リファレンス: ec2messages、ssmmessages およびその他の API オペレーション API オペレーションをモニタリングしていると、以下のオペレーションへの呼び出しが表示されることがあります。 + `ec2messages:AcknowledgeMessage` + `ec2messages:DeleteMessage` + `ec2messages:FailMessage` + `ec2messages:GetEndpoint` + `ec2messages:GetMessages` + `ec2messages:SendReply` + `ssmmessages:CreateControlChannel` + `ssmmessages:CreateDataChannel` + `ssmmessages:OpenControlChannel` + `ssmmessages:OpenDataChannel` + `ssm:DescribeDocumentParameters` + `ssm:DescribeInstanceProperties` + `ssm:GetCalendar` + `ssm:GetManifest` + `ssm:ListInstanceAssociations` + `ssm:PutCalendar` + `ssm:PutConfigurePackageResult` + `ssm:RegisterManagedInstance` + `ssm:RequestManagedInstanceRoleToken` + `ssm:UpdateInstanceAssociationStatus` + `ssm:UpdateInstanceInformation` + `ssm:UpdateManagedInstancePublicKey` これらは、このトピックの残りの部分で説明されているとおり、AWS Systems Manager で使用される特別なオペレーションです。 ## エージェント関連の API オペレーション (`ssmmessages` および `ec2messages` エンドポイント） **ssmmessages API オペレーション** Systems Manager は、次のタイプの API オペレーションに `ssmmessages` エンドポイントを使用します。 + Systems Manager Agent (SSM Agent) からクラウド内の Systems Manager サービスへのオペレーション。 + クラウドでの、SSM Agent から、AWS Systems Manager のツールである Session Manager へのオペレーション。このエンドポイントは、クラウド内の Session Manager サービスでセッションチャネルを作成および削除するために必要です。さらに、接続が許可されている場合、SSM Agent はこの Amazon Message Gateway Service 経由で `Command` ドキュメントを受信します。接続が許可されていない場合、SSM Agent は Amazon Message Delivery Service 経由で `Command` ドキュメントを受信します。詳細については、[Amazon Message Gateway Service のアクション、リソース、および条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmessagegatewayservice.html)を参照してください。 **注記** IAM インスタンスプロファイルまたは IAM サービスロールにアタッチされたポリシーから `ssmmessages:OpenControlChannel` アクセス許可が削除されると、マネージドノード上の SSM Agent はクラウド内の Systems Manager サービスへの接続を失います。ただし、アクセス許可が削除された後、接続が終了するまでに最大 1 時間かかる場合があります。これは、IAM インスタンスロールまたは IAM サービスロールが削除されたときと同じ動作です。 `ssmmessages:OpenControlChannel` アクセス許可は、EC2 インスタンスの [IAM インスタンスプロファイルを作成](https://docs.aws.amazon.com/systems-manager/latest/userguide/setup-instance-permissions.html#instance-profile-add-permissions)する手順および EC2 インスタンス以外の [IAM サービスロールを作成](https://docs.aws.amazon.com/systems-manager/latest/userguide/hybrid-multicloud-service-role.html)する手順で使用される管理ポリシー [AmazonSSMManagedInstanceCore](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonSSMManagedInstanceCore.html) に含まれています。 + Run Command からのオペレーション。 **ec2messages API オペレーション　** `ec2messages:*` API オペレーションは、Amazon Message Delivery Service エンドポイントにする必要があります。Systems Manager は、Systems Manager Agent (SSM Agent) からクラウド上の Systems Manager サービスへの API オペレーションにこのエンドポイントを使用します。 **重要** `ec2messages:*` API オペレーションは、2024 年より前にローンチされた AWS リージョン でのみサポートされます。2024 年以降にローンチされたリージョンでは、`ssmmessages:*` API オペレーションのみがサポートされます。 **エンドポイント接続の優先順位** SSM Agent のバージョン 3.3.40.0 以降、Systems Manager は、使用可能な場合には `ec2messages:*` エンドポイント (Amazon Message Delivery Service) の代わりに `ssmmessages:*` エンドポイント (Amazon Message Gateway Service) を使用するようになりました。 AWS Identity and Access Management (IAM) アクセス許可ポリシーで `ssmmessages:*` へのアクセスを許可すると、IAM インスタンスプロファイルが両方のエンドポイントを許可するように設定されている場合でも、SSM Agent は `ssmmessages:*` エンドポイントに接続できます。これには、自分で作成した [IAM インスタンスプロファイル](setup-instance-permissions.md#instance-profile-add-permissions)と [IAM サービスロール](hybrid-multicloud-service-role.md)のポリシー、および[Quick Setup ホスト管理設定](quick-setup-host-management.md)と[デフォルトのホスト管理設定](quick-setup-default-host-management-configuration.md)で作成した IAM インスタンスプロファイルのポリシーが含まれます。 両方のエンドポイントにアクセス許可を付与し、CloudWatch Metrics などを使用して API オペレーションをモニタリングしている場合、`ec2messages:*` への呼び出しは表示されません。 2024 年より前にローンチされた AWS リージョン の場合: 現時点では、`ec2messages:*` アクセス許可はポリシーから安全に削除できます。 **エンドポイント接続のフェイルオーバー** 2024 年より前にローンチされた AWS リージョン のみ: エージェントの起動時に、IAM インスタンスプロファイルから `ssmmessages:*` のアクセス許可ではなく、`ec2messages:*` のアクセス許可のみが提供される場合、SSM Agent は `ec2messages:*` エンドポイントに接続します。SSM Agent の起動時に、`ssmmessages:*` と `ec2messages:*` の両方が存在していたが、エージェントの起動後に `ssmmessages:*` を削除した場合、SSM Agent はすぐに接続を `ec2messages:*` エンドポイントに切り替えます。2024 年以降にローンチされたリージョンでは、`ssmmessages:*` エンドポイントのみがサポートされます。 `ssmmessages` エンドポイントと `ec2messages:*` エンドポイントの詳細については、「*AWS サービス認可リファレンス*」を参照してください。 + [Amazon Message Gateway Service のアクション、リソース、および条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmessagegatewayservice.html) (`ssmmessages`) + [Amazon Message Delivery Service のアクション、リソース、および条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmessagedeliveryservice.html) (`ec2messages:*`) ## `ssm:*` 名前空間インスタンス関連の API オペレーション `DescribeDocumentParameters` Systems Manager はこの API オペレーションを実行して、Amazon EC2 コンソールで指定されるノードをレンダリングします。　 `DescribeDocumentParameters` オペレーションの結果は、[ドキュメント] ノードに表示されます。 `DescribeInstanceProperties` Systems Manager はこの API オペレーションを実行して、Amazon EC2 コンソールで指定されるノードをレンダリングします。　 `DescribeInstanceProperties` オペレーションの結果は、[Fleet Manager] ノードに表示されます。 `GetCalendar` Systems Manager はこの API オペレーションを実行して、Change Calendar コンソールで Change Calendar タイプのドキュメントをレンダリングします。 `GetManifest` SSM Agent はこの API オペレーションを実行して、指定されたバージョンの [AWS Systems Manager Distributor](distributor.md) パッケージをインストールまたは更新するためのシステム要件を決定します。これはレガシーの API オペレーションであり、2017 年以降に AWS リージョン でリリースされた場合は使用できません。 `ListInstanceAssociations` SSM Agent はこの API オペレーションを実行して、新しい State Manager の関連付けが利用可能かどうかを確認します。この API オペレーションは、State Manager が機能するために必要です。 `PutCalendar` Systems Manager はこの API オペレーションを実行して、Change Calendar コンソールで Change Calendar タイプのドキュメントを更新します。 `PutConfigurePackageResult` SSM Agent はこの API オペレーションを実行して、パブリックディストリビューターパッケージのインストールエラーとレイテンシーのメトリクスをパッケージ所有者のアカウントに公開します。 `RegisterManagedInstance` SSM Agent は、次のシナリオでこの API オペレーションを実行します。 + アクティベーションコードと ID を使用して Systems Manager にオンプレミスサーバーや仮想マシン (VM) をマネージドインスタンスとして登録します。 + AWS IoT Greengrass Version 2 認証情報を登録します。 このオペレーションは、SSM Agentバージョン 3.1.x 以降を実行している Amazon EC2 インスタンスからも呼び出されます。 `RequestManagedInstanceRoleToken` SSM Agent はこの API オペレーションを実行して、マネージドノードにアクセスするための一時的な認証情報を取得します。 `UpdateInstanceAssociationStatus` SSM Agent はこの API オペレーションを実行して関連付けを更新します。この API オペレーションは、AWS Systems Manager のツールである State Manager が機能するために必要です。 `UpdateInstanceInformation` SSM Agent はクラウドの Systems Manager サービスを 5 分ごとに呼び出して、ハートビート情報を提供します。この呼び出しはエージェントのハートビートを維持するために必要となり、こうしてエージェントが想定どおり機能していることがサービスによって確認されます。 `UpdateManagedInstancePublicKey` SSM Agent は、マネージドノードでキーペアをローテーションした後、この API オペレーションを実行してパブリックキーを提供します。パブリックキーは、プライベートキーで署名されたリクエストを認証し、Systems Manager から一時的な認証情報を取得するために使用されます。 ## ssm:\* 名前空間の他の API オペレーション `ExecuteApi` OpsCenter で OpsItems を管理する Systems Manager の委任管理者は、複数の AWS アカウント にわたる OpsItems に関する関連リソースの詳細を表示できるよう、この API アクションへのアクセスが必要でます。具体的には、この API は、AWS マネジメントコンソール で OpsItem の詳細 (OpsItem の説明、タグ、CloudFormation テンプレート、AWS Config の変更、CloudWatch Logs アラーム、AWS CloudTrail イベント) を表示するアクセス許可を委任管理者に付与します。複数のアカウントにわたる OpsItems の操作に関する詳細については、「[(オプション) OpsCenter の手動設定により、複数のアカウント間で OpsItems を一元管理する](OpsCenter-getting-started-multiple-accounts.md)」を参照してください。OpsItems の関連リソースの詳細については、「[関連リソースを OpsItem に追加する](OpsCenter-working-with-OpsItems-adding-related-resources.md)」を参照してください。