AWS Systems Manager에 사용되는 작업, 리소스 및 조건 키
AWS Systems Manager(서비스 접두사: ssm)는 IAM 권한 정책에 사용할 수 있는 다음과 같은 서비스별 작업, 리소스, 작업 및 조건 키를 제공합니다.
참조:
-
이 서비스를 구성하는 방법을 알아봅니다.
-
이 서비스에 사용 가능한 API 작업의 목록을 봅니다.
-
IAM 권한 정책을 사용하여 이 서비스와 리소스를 보호하는 방법을 알아봅니다.
-
이 서비스에 대한 프로그래밍 방식 서비스 권한 부여 참조
를 확인합니다.
주제
AWS Systems Manager에서 정의한 API 작업
다음 표에서는 API 작업을 권한이 부여된 IAM 작업에 매핑합니다. 지정된 API 및 작업에 대해 정적 값이 있는 조건 키만 나열됩니다. 각 작업에서 지원하는 전체 조건 키 세트는 작업 표를 참조하세요.
| 연산 | IAM 작업 | 조건 키 | 가능한 값(들) | 액세스 레벨 |
|---|---|---|---|---|
|
AddTagsToResource |
태그 지정, 쓰기 |
|||
|
AssociateOpsItemRelatedItem |
쓰기 |
|||
|
CancelCommand |
쓰기 |
|||
|
CancelMaintenanceWindowExecution |
쓰기 |
|||
|
CreateActivation |
태그 지정, 쓰기 |
|||
쓰기 |
||||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
CreateAssociation |
태그 지정, 쓰기 |
|||
쓰기 |
||||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
CreateAssociationBatch |
쓰기 |
|||
쓰기 |
||||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
CreateCloudConnector |
태그 지정, 쓰기 |
|||
쓰기 |
||||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
CreateDocument |
태그 지정, 쓰기 |
|||
쓰기 |
||||
읽기 |
||||
iam:PassedToService |
justintimeaccess.ssm.amazonaws.com, ssm.amazonaws.com |
쓰기 |
||
|
CreateMaintenanceWindow |
태그 지정, 쓰기 |
|||
쓰기 |
||||
|
CreateOpsItem |
태그 지정, 쓰기 |
|||
쓰기 |
||||
|
CreateOpsMetadata |
태그 지정, 쓰기 |
|||
쓰기 |
||||
|
CreatePatchBaseline |
태그 지정, 쓰기 |
|||
쓰기 |
||||
|
CreateResourceDataSync |
쓰기 |
|||
|
DeleteActivation |
쓰기 |
|||
|
DeleteAssociation |
쓰기 |
|||
|
DeleteCloudConnector |
쓰기 |
|||
|
DeleteDocument |
쓰기 |
|||
|
DeleteInventory |
쓰기 |
|||
|
DeleteMaintenanceWindow |
쓰기 |
|||
|
DeleteOpsItem |
쓰기 |
|||
|
DeleteOpsMetadata |
쓰기 |
|||
|
DeleteParameter |
쓰기 |
|||
|
DeleteParameters |
쓰기 |
|||
|
DeletePatchBaseline |
쓰기 |
|||
|
DeleteResourceDataSync |
쓰기 |
|||
|
DeleteResourcePolicy |
권한 관리, 쓰기 |
|||
|
DeregisterManagedInstance |
쓰기 |
|||
|
DeregisterPatchBaselineForPatchGroup |
쓰기 |
|||
|
DeregisterTargetFromMaintenanceWindow |
쓰기 |
|||
|
DeregisterTaskFromMaintenanceWindow |
쓰기 |
|||
|
DescribeActivations |
읽기 |
|||
|
DescribeAssociation |
읽기 |
|||
|
DescribeAssociationExecutionTargets |
읽기 |
|||
|
DescribeAssociationExecutions |
읽기 |
|||
|
DescribeAutomationExecutions |
읽기 |
|||
|
DescribeAutomationStepExecutions |
읽기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
DescribeAvailablePatches |
읽기 |
|||
|
DescribeDocument |
읽기 |
|||
|
DescribeDocumentPermission |
읽기 |
|||
|
DescribeEffectiveInstanceAssociations |
읽기 |
|||
|
DescribeEffectivePatchesForPatchBaseline |
읽기 |
|||
|
DescribeInstanceAssociationsStatus |
읽기 |
|||
|
DescribeInstanceInformation |
읽기 |
|||
|
DescribeInstancePatchStates |
읽기 |
|||
|
DescribeInstancePatchStatesForPatchGroup |
읽기 |
|||
|
DescribeInstancePatches |
읽기 |
|||
|
DescribeInstanceProperties |
읽기 |
|||
|
DescribeInventoryDeletions |
읽기 |
|||
|
DescribeMaintenanceWindowExecutionTaskInvocations |
List |
|||
|
DescribeMaintenanceWindowExecutionTasks |
List |
|||
|
DescribeMaintenanceWindowExecutions |
List |
|||
|
DescribeMaintenanceWindowSchedule |
List |
|||
|
DescribeMaintenanceWindowTargets |
List |
|||
|
DescribeMaintenanceWindowTasks |
List |
|||
|
DescribeMaintenanceWindows |
List |
|||
|
DescribeMaintenanceWindowsForTarget |
List |
|||
|
DescribeOpsItems |
읽기 |
|||
|
DescribeParameters |
List |
|||
|
DescribePatchBaselines |
List |
|||
|
DescribePatchGroupState |
List |
|||
|
DescribePatchGroups |
List |
|||
|
DescribePatchProperties |
List |
|||
|
DescribeSessions |
List |
|||
|
DisassociateOpsItemRelatedItem |
쓰기 |
|||
|
GetAccessToken |
읽기 |
|||
|
GetAutomationExecution |
읽기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
GetCalendarState |
읽기 |
|||
|
GetCloudConnector |
읽기 |
|||
|
GetCommandInvocation |
읽기 |
|||
|
GetConnectionStatus |
읽기 |
|||
|
GetDefaultPatchBaseline |
읽기 |
|||
|
GetDeployablePatchSnapshotForInstance |
읽기 |
|||
|
GetDocument |
읽기 |
|||
|
GetExecutionPreview |
읽기 |
|||
|
GetInventory |
읽기 |
|||
|
GetInventorySchema |
읽기 |
|||
|
GetMaintenanceWindow |
읽기 |
|||
|
GetMaintenanceWindowExecution |
읽기 |
|||
|
GetMaintenanceWindowExecutionTask |
읽기 |
|||
|
GetMaintenanceWindowExecutionTaskInvocation |
읽기 |
|||
|
GetMaintenanceWindowTask |
읽기 |
|||
|
GetOpsItem |
읽기 |
|||
|
GetOpsMetadata |
읽기 |
|||
|
GetOpsSummary |
읽기 |
|||
|
GetParameter |
읽기 |
|||
|
GetParameterHistory |
읽기 |
|||
|
GetParameters |
읽기 |
|||
|
GetParametersByPath |
읽기 |
|||
|
GetPatchBaseline |
읽기 |
|||
|
GetPatchBaselineForPatchGroup |
읽기 |
|||
|
GetResourcePolicies |
List |
|||
|
GetServiceSetting |
읽기 |
|||
|
LabelParameterVersion |
쓰기 |
|||
|
ListAssociationVersions |
List |
|||
|
ListAssociations |
List |
|||
|
ListCloudConnectors |
List |
|||
|
ListCommandInvocations |
List |
|||
|
ListCommands |
List |
|||
|
ListComplianceItems |
List |
|||
|
ListComplianceSummaries |
List |
|||
|
ListDocumentMetadataHistory |
List |
|||
|
ListDocumentVersions |
List |
|||
|
ListDocuments |
List |
|||
|
ListInventoryEntries |
List |
|||
|
ListNodes |
List |
|||
|
ListNodesSummary |
List |
|||
|
ListOpsItemEvents |
List |
|||
|
ListOpsItemRelatedItems |
List |
|||
|
ListOpsMetadata |
List |
|||
|
ListResourceComplianceSummaries |
List |
|||
|
ListResourceDataSync |
List |
|||
|
ListTagsForResource |
List |
|||
|
ModifyDocumentPermission |
권한 관리, 쓰기 |
|||
|
PutComplianceItems |
쓰기 |
|||
|
PutInventory |
쓰기 |
|||
|
PutParameter |
태그 지정, 쓰기 |
|||
쓰기 |
||||
|
PutResourcePolicy |
권한 관리, 쓰기 |
|||
|
RegisterDefaultPatchBaseline |
쓰기 |
|||
|
RegisterPatchBaselineForPatchGroup |
쓰기 |
|||
|
RegisterTargetWithMaintenanceWindow |
쓰기 |
|||
|
RegisterTaskWithMaintenanceWindow |
쓰기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
RemoveTagsFromResource |
태그 지정, 쓰기 |
|||
|
ResetServiceSetting |
쓰기 |
|||
|
ResumeSession |
쓰기 |
|||
|
SendAutomationSignal |
쓰기 |
|||
|
SendCommand |
쓰기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
StartAccessRequest |
태그 지정, 쓰기 |
|||
쓰기 |
||||
|
StartAssociationsOnce |
쓰기 |
|||
|
StartAutomationExecution |
태그 지정, 쓰기 |
|||
쓰기 |
||||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
StartChangeRequestExecution |
쓰기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
StartExecutionPreview |
읽기 |
|||
|
StartSession |
쓰기 |
|||
|
StopAutomationExecution |
쓰기 |
|||
|
TerminateSession |
쓰기 |
|||
|
UnlabelParameterVersion |
쓰기 |
|||
|
UpdateAssociation |
쓰기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
UpdateAssociationStatus |
쓰기 |
|||
|
UpdateCloudConnector |
쓰기 |
|||
|
UpdateDocument |
쓰기 |
|||
iam:PassedToService |
justintimeaccess.ssm.amazonaws.com, ssm.amazonaws.com |
쓰기 |
||
|
UpdateDocumentDefaultVersion |
쓰기 |
|||
|
UpdateDocumentMetadata |
쓰기 |
|||
|
UpdateMaintenanceWindow |
쓰기 |
|||
|
UpdateMaintenanceWindowTarget |
쓰기 |
|||
|
UpdateMaintenanceWindowTask |
쓰기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
UpdateManagedInstanceRole |
쓰기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
UpdateOpsItem |
쓰기 |
|||
|
UpdateOpsMetadata |
쓰기 |
|||
|
UpdatePatchBaseline |
쓰기 |
|||
|
UpdateResourceDataSync |
쓰기 |
|||
|
UpdateServiceSetting |
쓰기 |
|||
iam:PassedToService |
ssm.amazonaws.com |
쓰기 |
||
|
ValidateCloudConnector |
읽기 |
AWS Systems Manager에서 정의한 작업
IAM 정책 설명의 Action 요소에서는 다음 작업을 지정할 수 있습니다. 정책을 사용하여 AWS에서 작업할 수 있는 권한을 부여합니다. 정책에서 작업을 사용하면 일반적으로 이름이 같은 API 작업 또는 CLI 명령에 대한 액세스를 허용하거나 거부합니다. 그러나 경우에 따라 하나의 작업으로 둘 이상의 작업에 대한 액세스가 제어됩니다. 또는 일부 작업을 수행하려면 다양한 작업이 필요합니다.
| 작업 | 설명 | 리소스 유형(*필수) | 조건 키 | 액세스 레벨 |
|---|---|---|---|---|
지정된 AWS 리소스에 대해 하나 이상의 태그를 추가하거나 덮어쓸 수 있는 권한을 부여합니다. |
태그 지정, 쓰기 |
|||
RelatedItem을 OpsItem에 연결할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 Run Command 명령을 취소할 수 있는 권한을 부여합니다. |
쓰기 |
|||
진행 중인 유지 관리 기간 실행을 취소할 수 있는 권한을 부여합니다. |
쓰기 |
|||
온프레미스 서버 및 가상 머신(VM)을 Systems Manager에 등록하는 데 사용되는 활성화를 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 Systems Manager 문서를 지정된 인스턴스 또는 다른 대상과 연결할 수 있는 권한을 부여합니다. |
쓰기 |
|||
단일 명령으로 여러 CreateAssociation 작업의 항목을 결합할 수 있는 권한을 부여합니다. |
쓰기 |
|||
다른 클라우드 환경에서 인스턴스를 관리하기 위한 클라우드 커넥터를 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
Systems Manager SSM 문서를 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
유지 관리 기간을 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
OpsCenter에서 OpsItem을 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
AWS 리소스에 대한 OpsMetadata 객체를 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
패치 기준을 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
리소스 데이터 동기화 구성을 생성할 수 있는 권한을 부여합니다. 이 권한은 관리형 인스턴스에서 인벤토리 데이터를 정기적으로 수집하고 Amazon S3 버킷에서 해당 데이터를 업데이트합니다. |
쓰기 |
|||
관리형 인스턴스에 대해 지정된 활성화를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 인스턴스에서 지정된 SSM 문서의 연결을 해제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 클라우드 커넥터를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 SSM 문서와 해당 인스턴스 연결을 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 사용자 지정 인벤토리 유형 또는 사용자 지정 인벤토리 유형과 연결된 데이터를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 유지 관리 기간을 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
OpsItem을 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
OpsMetadata 객체를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 SSM 파라미터를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
여러 개의 지정된 SSM 파라미터를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 패치 기준을 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 리소스 데이터 동기화를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
Systems Manager 리소스 정책을 삭제할 수 있는 권한을 부여합니다. |
권한 관리, 쓰기 |
|||
Systems Manager에서 지정된 온프레미스 서버 또는 가상 머신(VM)의 등록을 취소할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 패치 기준이 지정된 패치 그룹의 기본 패치 기준이 되지 않도록 등록을 취소할 수 있는 권한을 부여합니다. |
쓰기 |
|||
유지 관리 기간에서 지정된 대상의 등록을 취소할 수 있는 권한을 부여합니다. |
쓰기 |
|||
유지 관리 기간에서 지정된 작업의 등록을 취소할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 관리형 인스턴스 활성화에 대한 세부 정보(예: 생성 시점 및 활성화를 사용하여 등록된 인스턴스 수)를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 인스턴스 또는 대상의 지정된 연결에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 연결 실행에 대한 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 연결에 대한 모든 실행을 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
모든 활성 및 종료된 자동화 실행에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
자동화 워크플로에서 모든 활성 및 종료된 단계 실행에 대한 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
패치 기준에 포함할 수 있는 모든 패치를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 SSM 문서에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
Systems Manager 콘솔에서 SSM 문서 파라미터에 대한 정보를 표시할 수 있는 권한을 부여합니다(내부 Systems Manager 작업). |
읽기 |
|||
지정된 SSM 문서에 대한 권한을 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 인스턴스에 대한 모든 현재 연결을 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 패치 기준과 현재 연결된 패치에 대한 세부 정보를 볼 수 있는 권한을 부여합니다(Windows에만 해당). |
읽기 |
|||
지정된 인스턴스에 대한 연결 상태를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 인스턴스에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 인스턴스의 패치에 대한 상태 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 패치 그룹의 인스턴스에 대한 상위 수준 패치 상태를 설명할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 인스턴스의 패치에 대한 일반 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
사용자의 Amazon EC2 콘솔에 관리형 인스턴스의 노드를 렌더링할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 인벤토리 삭제에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
유지 관리 기간에 대해 지정된 작업 실행의 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 유지 관리 기간 실행 중에 실행된 작업에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 유지 관리 기간의 실행을 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 유지 관리 기간의 예정된 실행에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 유지 관리 기간과 연결된 대상 목록을 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 유지 관리 기간과 연결된 작업 목록을 볼 수 있는 권한을 부여합니다. |
List |
|||
모든 유지 관리 기간 또는 지정된 유지 관리 기간에 대한 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 인스턴스와 연결된 유지 관리 기간 대상 및 작업에 대한 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 OpsItems에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 SSM 파라미터에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 조건을 충족하는 패치 기준에 대한 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 패치 그룹에 대한 패치의 집계된 상태 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 패치 그룹의 패치 기준에 대한 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 운영 체제 및 패치 속성에 대해 사용 가능한 패치의 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 검색 조건을 충족하는 최근 Session Manager 세션 목록을 볼 수 있는 권한을 부여합니다. |
List |
|||
OpsItem에서 RelatedItem의 연결을 해제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
Systems Manager 위임된 관리자에게의 여러 AWS 계정에서 OpsItems에 대한 관련 리소스 세부 정보를 볼 수 있는 권한을 부여합니다. AWS Management Console |
읽기 |
|||
JIT(Just-In-Time) 노드 액세스에 사용할 자격 증명 세트를 반환할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 자동화 실행의 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
변경 일정 또는 변경 일정 목록의 일정 상태를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 클라우드 커넥터에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 호출 또는 플러그인의 명령 실행에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 관리형 인스턴스에 대한 Session Manager 연결 상태를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 운영 체제 유형에 대한 현재 기본 패치 기준을 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 인스턴스에 대한 현재 패치 기준 스냅샷을 검색할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 SSM 문서의 콘텐츠를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 자동화 런북 실행이 대상 리소스에 미치는 영향을 보여주는 기존 미리 보기를 검색할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 기준에 따라 인스턴스 인벤토리 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 인벤토리 항목 유형에 대한 인벤토리 유형 또는 속성 이름 목록을 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 유지 관리 기간에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 유지 관리 기간 실행에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 유지 관리 기간 실행 작업에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
특정 대상에서 실행 중인 특정 유지 관리 기간 작업에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 유지 관리 기간에 등록된 작업에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 OpsItem에 대한 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
OpsMetadata 객체를 검색할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 필터 및 수집기를 기준으로 OpsItem에 대한 요약 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 파라미터에 대한 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 파라미터에 대한 세부 정보 및 변경 사항을 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 여러 파라미터에 대한 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 계층 구조의 파라미터에 대한 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 패치 기준에 대한 정보를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 패치 그룹에 대한 현재 패치 기준의 ID를 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
Systems Manager 리소스 정책을 검색할 수 있는 권한을 부여합니다. |
List |
|||
AWS 서비스에 대한 계정 수준 설정을 볼 수 있는 권한을 부여합니다. |
읽기 |
|||
파라미터의 지정된 버전에 식별 레이블을 적용할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 연결의 버전을 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 SSM 문서 또는 관리형 인스턴스에 대한 연결을 나열할 수 있는 권한을 부여합니다. |
List |
|||
계정의 클라우드 커넥터를 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 인스턴스로 전송된 명령 호출에 대한 정보를 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 인스턴스에 전송된 명령을 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 리소스의 지정된 리소스 유형에 대한 규정 준수 상태를 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 규정 준수 유형에 대한 규정 준수 및 비준수 리소스의 요약 수를 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 SSM 문서에 대한 메타데이터 기록을 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 문서의 모든 버전을 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 SSM 문서에 대한 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
SSM Agent에 새 State Manager 연결을 확인할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). |
List |
|||
지정된 인스턴스에 대해 지정된 인벤토리 유형 목록을 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 필터를 기반으로 관리형 노드에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
지정된 필터 및 집계자를 기반으로 관리형 노드에 대한 요약 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
OpsItemEvents에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
OpsItem RelatedItems에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. |
List |
|||
OpsMetadata 객체 목록을 볼 수 있는 권한을 부여합니다. |
List |
|||
리소스 수준 요약 개수를 나열할 수 있는 권한을 부여합니다. |
List |
|||
계정의 리소스 데이터 동기화 구성에 대한 정보를 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 리소스에 대한 리소스 태그 목록을 볼 수 있는 권한을 부여합니다. |
List |
|||
사용자 지정 SSM 문서를 지정된 AWS 계정과 공개적으로 또는 비공개로 공유할 수 있는 권한을 부여합니다. |
권한 관리, 쓰기 |
|||
지정된 리소스에 규정 준수 유형 및 기타 규정 준수 세부 정보를 등록할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 여러 관리형 인스턴스에서 인벤토리 항목을 추가하거나 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
SSM 파라미터를 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
Systems Manager 리소스 정책을 생성하거나 업데이트할 수 있는 권한을 부여합니다. |
권한 관리, 쓰기 |
|||
운영 체제 유형에 대한 기본 패치 기준을 지정할 수 있는 권한을 부여합니다. |
쓰기 |
|||
Systems Manager Agent를 등록할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 패치 그룹에 대한 기본 패치 기준을 지정할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 유지 관리 기간에 대상을 등록할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 유지 관리 기간에 작업을 등록할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 리소스에서 지정된 태그 키를 제거할 수 있는 권한을 부여합니다. |
태그 지정, 쓰기 |
|||
에 대한 서비스 설정을 기본값으로 재설정 AWS 계정 할 수 있는 권한을 부여합니다. |
쓰기 |
|||
관리형 인스턴스에 Session Manager 세션을 다시 연결할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 자동화 실행의 현재 동작 또는 상태를 변경하기 위한 신호를 보낼 수 있는 권한을 부여합니다. |
쓰기 |
|||
하나 이상의 지정된 관리형 인스턴스에서 명령을 실행할 수 있는 권한을 부여합니다. |
쓰기 |
|||
JIT(Just-In-Time) 노드 액세스 세션의 워크플로를 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 연결을 수동으로 실행할 수 있는 권한을 부여합니다. |
쓰기 |
|||
자동화 문서의 실행을 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
자동화 변경 템플릿 문서의 실행을 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 자동화 런북 실행이 대상 리소스에 미치는 영향을 보여주는 미리 보기를 생성할 수 있는 권한을 부여합니다. |
읽기 |
|||
Session Manager 세션에 대해 지정된 대상에 대한 연결을 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
이미 진행 중인 지정된 자동화 실행을 중지할 수 있는 권한을 부여합니다. |
쓰기 |
|||
인스턴스에 대한 Session Manager 연결을 영구적으로 종료할 수 있는 권한을 부여합니다. |
쓰기 |
|||
파라미터의 지정된 버전에서 식별 레이블을 제거할 수 있는 권한을 부여합니다. |
쓰기 |
|||
연결을 업데이트하고 지정된 대상에서 연결을 즉시 실행할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 인스턴스와 연결된 SSM 문서의 상태를 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 클라우드 커넥터를 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
SSM 문서에 대해 하나 이상의 값을 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
SSM 문서의 기본 버전을 변경할 수 있는 권한을 부여합니다. |
쓰기 |
|||
SSM 문서의 메타데이터를 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
SSM Agent가 클라우드의 Systems Manager 서비스에 하트비트 신호를 보낼 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 유지 관리 기간을 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 유지 관리 기간 대상을 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 유지 관리 기간 작업을 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 관리형 인스턴스에 할당된 IAM 역할을 할당하거나 변경할 수 있는 권한을 부여합니다. |
쓰기 |
|||
OpsItem을 편집하거나 변경할 수 있는 권한을 부여합니다. |
쓰기 |
|||
OpsMetadata 객체를 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 패치 기준을 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
리소스 데이터 동기화를 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
에 대한 서비스 설정을 업데이트할 수 있는 권한을 부여합니다. AWS 계정 |
쓰기 |
|||
지정된 클라우드 커넥터가 제대로 작동하는지 확인하고 감지된 검증 결과 또는 문제를 검색할 수 있는 권한을 부여합니다. |
읽기 |
AWS Systems Manager에 대한 권한 전용 작업
다음 작업은 AWS Systems Manager에서 정의하지만 API 작업을 통해 직접 호출할 수 없습니다. IAM 정책 설명에서만 권한을 부여하거나 거부할 수 있습니다.
| 작업 | 설명 | 리소스 유형(*필수) | 조건 키 | 액세스 레벨 |
|---|---|---|---|---|
특정 일정의 세부 정보를 보는 권한을 부여합니다. |
읽기 |
|||
Systems Manager 및 SSM Agent가 인스턴스에 대한 패키지 설치 요구 사항을 결정할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). |
읽기 |
|||
특정 일정을 생성/편집하는 권한을 부여합니다. |
쓰기 |
|||
SSM Agent가 특정 에이전트 요청 결과 보고서를 생성할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). |
읽기 |
|||
SSM Agent에 관리형 노드에 액세스하기 위한 임시 자격 증명을 검색할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). |
쓰기 |
|||
SSM Agent가 현재 실행 중인 연결 상태를 업데이트할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). |
쓰기 |
|||
키 페어를 교체한 후 관리형 노드의 퍼블릭 키를 업데이트할 수 있는 권한을 SSM Agent에 부여합니다(내부 Systems Manager 호출). |
쓰기 |
|||
AWS Systems Manager에서 정의한 리소스 유형
이 서비스에서 정의하는 리소스 유형은 다음과 같으며, IAM 권한 정책 설명의 Resource 요소에서 사용할 수 있습니다.
| 조건 키 | ARN | 조건 키 |
|---|---|---|
arn:${Partition}:ssm:${Region}:${Account}:association/${AssociationId} |
||
arn:${Partition}:ssm:${Region}:${Account}:automation-definition/${AutomationDefinitionName}:${VersionId} |
||
arn:${Partition}:ssm:${Region}:${Account}:automation-execution/${AutomationExecutionId} |
||
arn:${Partition}:s3::${BucketName} |
||
arn:${Partition}:ssm:${Region}:${Account}:cloud-connector/${CloudConnectorId} |
||
arn:${Partition}:ssm:${Region}:${Account}:document/${DocumentName} |
||
arn:${Partition}:iam::${Account}:role/${RoleName} |
||
arn:${Partition}:ec2:${Region}:${Account}:instance/${InstanceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:maintenancewindow/${ResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:managed-instance/${InstanceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:managed-instance-inventory/${InstanceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:opsitem/${ResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:opsitemgroup/default |
||
arn:${Partition}:ssm:${Region}:${Account}:opsmetadata/${ResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:parameter/${ParameterNameWithoutLeadingSlash} |
||
arn:${Partition}:ssm:${Region}:${Account}:patchBaseline/${PatchBaselineIdResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:resource-data-sync/${SyncName} |
||
arn:${Partition}:ssm:${Region}:${Account}:servicesetting/${ResourceId} |
||
arn:${Partition}:ssm:${Region}:${Account}:session/${SessionId} |
||
arn:${Partition}:ecs:${Region}:${Account}:task/${TaskId} |
||
arn:${Partition}:ssm:${Region}:${Account}:windowtarget/${WindowTargetId} |
||
arn:${Partition}:ssm:${Region}:${Account}:windowtask/${WindowTaskId} |
AWS Systems Manager에 사용되는 조건 키
AWS Systems Manager는 IAM 정책의 Condition 요소에 사용할 수 있는 다음과 같은 조건 키를 정의합니다.
| 조건 키 | 설명 | 형식 |
|---|---|---|
지정된 태그에 허용되는 값 집합을 기준으로 ‘생성’ 요청을 기준으로 액세스를 필터링합니다. |
문자열 |
|
AWS 리소스에 할당된 태그 키-값 페어를 기준으로 액세스를 필터링합니다. |
문자열 |
|
필수 태그가 요청에 포함되는지 여부를 기준으로 '생성' 요청을 기준으로 액세스를 필터링합니다. |
ArrayOfString |
|
요청이 시작된 인스턴스의 ARN을 기준으로 액세스를 필터링합니다. |
ARN |
|
사용자가 요청에서 지정된 액세스 요청 ID에 액세스할 수 있는지 확인하여 액세스를 필터링합니다. |
문자열 |
|
검토 단계 없이 변경 관리자 워크플로를 시작하는 권한이 사용자에게 있는지 확인하여 액세스를 필터링합니다(변경 고정 이벤트 제외). |
부울 |
|
특정 범주 enum에 속하는 문서에 액세스할 수 있는 권한이 사용자에게 있는지 확인하여 액세스를 필터링합니다. |
ArrayOfString |
|
특정 문서 유형에 속하는 문서에 액세스할 수 있는 권한이 사용자에게 있는지 확인하여 액세스를 필터링합니다. ‘aws’, ‘aws-cn’, ‘aws-us-gov’ 파티션에서만 사용 가능 |
문자열 |
|
사용자에게 특정 버전의 문서에 액세스할 수 있는 권한이 있는지 확인하여 액세스를 필터링합니다. |
ArrayOfString |
|
사용자가 요청에 지정된 InventoryType에도 액세스할 수 있는지 확인하여 액세스를 필터링합니다. |
ArrayOfString |
|
요청을 하는 관리형 노드와 연결된 AWS 계정 ID를 기준으로 액세스를 필터링합니다. VPC 엔드포인트 정책 및 서비스 제어 정책(SCPs)에서만 사용 가능 |
문자열 |
|
요청을 하는 관리형 노드와 연결된 AWS Organizations ID를 기준으로 액세스를 필터링합니다. VPC 엔드포인트 정책 및 서비스 제어 정책(SCPs)에서만 사용 가능 |
문자열 |
|
Systems Manager 매개변수를 덮어쓸 수 있는지를 제어하여 액세스를 필터링 |
문자열 |
|
IAM 엔터티(사용자 또는 역할)가 파라미터 정책을 포함하는 파라미터를 생성하거나 업데이트할 수 있는지 여부를 제어하여 액세스를 필터링합니다. |
문자열 |
|
계층 구조에서 생성된 Systems Manager 매개변수에 따라 액세스를 필터링 |
문자열 |
|
사용자에게 기본 Session Manager 구성 문서 또는 요청에 지정된 사용자 지정 구성 문서에 액세스할 수 있는 권한이 있는지 확인하여 액세스를 필터링합니다. |
부울 |
|
요청이 이루어진 AWS Systems Manager 관리형 인스턴스의 Amazon 리소스 이름(ARN)을 확인하여 액세스를 필터링합니다. EC2 인스턴스 프로파일과 연결된 IAM 역할을 통해 인증된 관리형 인스턴스에서 요청이 제공되면 이 키가 표시되지 않습니다. |
ARN |
|
사용자가 요청에 지정된 ResourceDataSync SyncType에도 액세스할 수 있는지 확인하여 액세스를 필터링합니다. |
문자열 |
|
Systems Manager 리소스에 할당된 태그 키-값 페어에 따라 액세스를 필터링 |
문자열 |
|
Systems Manager 세션 리소스에 할당된 태그 키-값 페어를 기준으로 액세스를 필터링합니다. |
문자열 |
|
Systems Manager 세션 리소스에 할당된 태그 키-값 페어를 기준으로 액세스를 필터링합니다. |
문자열 |
|
Systems Manager 리소스에 할당된 태그 키-값 페어를 기준으로 액세스를 필터링합니다. |
문자열 |
