Ações, recursos e chaves de condição para AWS Systems Manager
AWS O Systems Manager (prefixo do serviço:ssm) fornece as seguintes operações, recursos, ações e chaves de condição específicos do serviço para uso nas políticas de permissão do IAM.
Referências:
-
Saiba como configurar este serviço.
-
Visualize uma lista das operações de API disponíveis para este serviço.
-
Saiba como proteger esse serviço e seus recursos usando políticas de permissão do IAM.
-
Veja a referência de autorização de serviço programático
para esse serviço.
Tópicos
Operações de API definidas por AWS Systems Manager
A tabela a seguir mapeia as operações da API às ações do IAM que elas autorizam. Somente as chaves de condição que têm valores estáticos para a API e a ação fornecidas são listadas; para ver o conjunto completo de chaves de condição suportadas por cada ação, consulte a tabela Ações.
| Operation | Ação do IAM | Chave de condição | Valor (es) possível (s) | Nível de acesso |
|---|---|---|---|---|
|
AddTagsToResource |
Marcação, gravação |
|||
|
AssociateOpsItemRelatedItem |
Gravar |
|||
|
CancelCommand |
Gravar |
|||
|
CancelMaintenanceWindowExecution |
Gravar |
|||
|
CreateActivation |
Marcação, gravação |
|||
Gravar |
||||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
CreateAssociation |
Marcação, gravação |
|||
Gravar |
||||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
CreateAssociationBatch |
Gravar |
|||
Gravar |
||||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
CreateCloudConnector |
Marcação, gravação |
|||
Gravar |
||||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
CreateDocument |
Marcação, gravação |
|||
Gravar |
||||
Ler |
||||
objetivo: PassedToService |
justintimeaccess.ssm.amazonaws.com, ssm.amazonaws.com |
Gravar |
||
|
CreateMaintenanceWindow |
Marcação, gravação |
|||
Gravar |
||||
|
CreateOpsItem |
Marcação, gravação |
|||
Gravar |
||||
|
CreateOpsMetadata |
Marcação, gravação |
|||
Gravar |
||||
|
CreatePatchBaseline |
Marcação, gravação |
|||
Gravar |
||||
|
CreateResourceDataSync |
Gravar |
|||
|
DeleteActivation |
Gravar |
|||
|
DeleteAssociation |
Gravar |
|||
|
DeleteCloudConnector |
Gravar |
|||
|
DeleteDocument |
Gravar |
|||
|
DeleteInventory |
Gravar |
|||
|
DeleteMaintenanceWindow |
Gravar |
|||
|
DeleteOpsItem |
Gravar |
|||
|
DeleteOpsMetadata |
Gravar |
|||
|
DeleteParameter |
Gravar |
|||
|
DeleteParameters |
Gravar |
|||
|
DeletePatchBaseline |
Gravar |
|||
|
DeleteResourceDataSync |
Gravar |
|||
|
DeleteResourcePolicy |
Gerenciamento de permissões, gravação |
|||
|
DeregisterManagedInstance |
Gravar |
|||
|
DeregisterPatchBaselineForPatchGroup |
Gravar |
|||
|
DeregisterTargetFromMaintenanceWindow |
Gravar |
|||
|
DeregisterTaskFromMaintenanceWindow |
Gravar |
|||
|
DescribeActivations |
Ler |
|||
|
DescribeAssociation |
Ler |
|||
|
DescribeAssociationExecutionTargets |
Ler |
|||
|
DescribeAssociationExecutions |
Ler |
|||
|
DescribeAutomationExecutions |
Ler |
|||
|
DescribeAutomationStepExecutions |
Ler |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
DescribeAvailablePatches |
Ler |
|||
|
DescribeDocument |
Ler |
|||
|
DescribeDocumentPermission |
Ler |
|||
|
DescribeEffectiveInstanceAssociations |
Ler |
|||
|
DescribeEffectivePatchesForPatchBaseline |
Ler |
|||
|
DescribeInstanceAssociationsStatus |
Ler |
|||
|
DescribeInstanceInformation |
Ler |
|||
|
DescribeInstancePatchStates |
Ler |
|||
|
DescribeInstancePatchStatesForPatchGroup |
Ler |
|||
|
DescribeInstancePatches |
Ler |
|||
|
DescribeInstanceProperties |
Ler |
|||
|
DescribeInventoryDeletions |
Ler |
|||
|
DescribeMaintenanceWindowExecutionTaskInvocations |
Lista |
|||
|
DescribeMaintenanceWindowExecutionTasks |
Lista |
|||
|
DescribeMaintenanceWindowExecutions |
Lista |
|||
|
DescribeMaintenanceWindowSchedule |
Lista |
|||
|
DescribeMaintenanceWindowTargets |
Lista |
|||
|
DescribeMaintenanceWindowTasks |
Lista |
|||
|
DescribeMaintenanceWindows |
Lista |
|||
|
DescribeMaintenanceWindowsForTarget |
Lista |
|||
|
DescribeOpsItems |
Ler |
|||
|
DescribeParameters |
Lista |
|||
|
DescribePatchBaselines |
Lista |
|||
|
DescribePatchGroupState |
Lista |
|||
|
DescribePatchGroups |
Lista |
|||
|
DescribePatchProperties |
Lista |
|||
|
DescribeSessions |
Lista |
|||
|
DisassociateOpsItemRelatedItem |
Gravar |
|||
|
GetAccessToken |
Ler |
|||
|
GetAutomationExecution |
Ler |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
GetCalendarState |
Ler |
|||
|
GetCloudConnector |
Ler |
|||
|
GetCommandInvocation |
Ler |
|||
|
GetConnectionStatus |
Ler |
|||
|
GetDefaultPatchBaseline |
Ler |
|||
|
GetDeployablePatchSnapshotForInstance |
Ler |
|||
|
GetDocument |
Ler |
|||
|
GetExecutionPreview |
Ler |
|||
|
GetInventory |
Ler |
|||
|
GetInventorySchema |
Ler |
|||
|
GetMaintenanceWindow |
Ler |
|||
|
GetMaintenanceWindowExecution |
Ler |
|||
|
GetMaintenanceWindowExecutionTask |
Ler |
|||
|
GetMaintenanceWindowExecutionTaskInvocation |
Ler |
|||
|
GetMaintenanceWindowTask |
Ler |
|||
|
GetOpsItem |
Ler |
|||
|
GetOpsMetadata |
Ler |
|||
|
GetOpsSummary |
Ler |
|||
|
GetParameter |
Ler |
|||
|
GetParameterHistory |
Ler |
|||
|
GetParameters |
Ler |
|||
|
GetParametersByPath |
Ler |
|||
|
GetPatchBaseline |
Ler |
|||
|
GetPatchBaselineForPatchGroup |
Ler |
|||
|
GetResourcePolicies |
Lista |
|||
|
GetServiceSetting |
Ler |
|||
|
LabelParameterVersion |
Gravar |
|||
|
ListAssociationVersions |
Lista |
|||
|
ListAssociations |
Lista |
|||
|
ListCloudConnectors |
Lista |
|||
|
ListCommandInvocations |
Lista |
|||
|
ListCommands |
Lista |
|||
|
ListComplianceItems |
Lista |
|||
|
ListComplianceSummaries |
Lista |
|||
|
ListDocumentMetadataHistory |
Lista |
|||
|
ListDocumentVersions |
Lista |
|||
|
ListDocuments |
Lista |
|||
|
ListInventoryEntries |
Lista |
|||
|
ListNodes |
Lista |
|||
|
ListNodesSummary |
Lista |
|||
|
ListOpsItemEvents |
Lista |
|||
|
ListOpsItemRelatedItems |
Lista |
|||
|
ListOpsMetadata |
Lista |
|||
|
ListResourceComplianceSummaries |
Lista |
|||
|
ListResourceDataSync |
Lista |
|||
|
ListTagsForResource |
Lista |
|||
|
ModifyDocumentPermission |
Gerenciamento de permissões, gravação |
|||
|
PutComplianceItems |
Gravar |
|||
|
PutInventory |
Gravar |
|||
|
PutParameter |
Marcação, gravação |
|||
Gravar |
||||
|
PutResourcePolicy |
Gerenciamento de permissões, gravação |
|||
|
RegisterDefaultPatchBaseline |
Gravar |
|||
|
RegisterPatchBaselineForPatchGroup |
Gravar |
|||
|
RegisterTargetWithMaintenanceWindow |
Gravar |
|||
|
RegisterTaskWithMaintenanceWindow |
Gravar |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
RemoveTagsFromResource |
Marcação, gravação |
|||
|
ResetServiceSetting |
Gravar |
|||
|
ResumeSession |
Gravar |
|||
|
SendAutomationSignal |
Gravar |
|||
|
SendCommand |
Gravar |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
StartAccessRequest |
Marcação, gravação |
|||
Gravar |
||||
|
StartAssociationsOnce |
Gravar |
|||
|
StartAutomationExecution |
Marcação, gravação |
|||
Gravar |
||||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
StartChangeRequestExecution |
Gravar |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
StartExecutionPreview |
Ler |
|||
|
StartSession |
Gravar |
|||
|
StopAutomationExecution |
Gravar |
|||
|
TerminateSession |
Gravar |
|||
|
UnlabelParameterVersion |
Gravar |
|||
|
UpdateAssociation |
Gravar |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
UpdateAssociationStatus |
Gravar |
|||
|
UpdateCloudConnector |
Gravar |
|||
|
UpdateDocument |
Gravar |
|||
objetivo: PassedToService |
justintimeaccess.ssm.amazonaws.com, ssm.amazonaws.com |
Gravar |
||
|
UpdateDocumentDefaultVersion |
Gravar |
|||
|
UpdateDocumentMetadata |
Gravar |
|||
|
UpdateMaintenanceWindow |
Gravar |
|||
|
UpdateMaintenanceWindowTarget |
Gravar |
|||
|
UpdateMaintenanceWindowTask |
Gravar |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
UpdateManagedInstanceRole |
Gravar |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
UpdateOpsItem |
Gravar |
|||
|
UpdateOpsMetadata |
Gravar |
|||
|
UpdatePatchBaseline |
Gravar |
|||
|
UpdateResourceDataSync |
Gravar |
|||
|
UpdateServiceSetting |
Gravar |
|||
objetivo: PassedToService |
ssm.amazonaws.com |
Gravar |
||
|
ValidateCloudConnector |
Ler |
Ações definidas por AWS Systems Manager
Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.
| Ações | Description | Tipos de recursos (*necessários) | Chaves de condição | Nível de acesso |
|---|---|---|---|---|
Concede permissão para adicionar ou substituir uma ou mais tags para um recurso especificado AWS |
Marcação, gravação |
|||
Concede permissão para se RelatedItem associar a um OpsItem |
Gravar |
|||
Concede permissão para cancelar um comando Run Command especificado |
Gravação |
|||
Concede permissão para cancelar uma execução da janela de manutenção em andamento |
Gravar |
|||
Concede permissão para criar uma ativação usada para registrar servidores on-premises e máquinas virtuais (VMs) com o Systems Manager |
Gravar |
|||
Concede permissão para associar um documento especificado do Systems Manager a instâncias especificadas ou outros destinos |
Gravar |
|||
Concede permissão para combinar entradas para várias CreateAssociation operações em um único comando |
Gravar |
|||
Concede permissão para criar um conector de nuvem para gerenciar instâncias em outros ambientes de nuvem |
Gravar |
|||
Concede permissão para criar um documento do Systems Manager SSM |
Gravar |
|||
Concede permissão para criar uma janela de manutenção |
Gravar |
|||
Concede permissão para criar um OpsItem em OpsCenter |
Gravar |
|||
Concede permissão para criar um OpsMetadata objeto para um AWS recurso |
Gravar |
|||
Concede permissão para criar uma linha de base de patch |
Gravar |
|||
Concede permissão para criar uma configuração de sincronização de dados de recurso, que coleta regularmente dados de inventário de instâncias gerenciadas e atualiza os dados em um bucket do Amazon S3 |
Gravar |
|||
Concede permissão para excluir uma ativação especificada para instâncias gerenciadas |
Gravação |
|||
Concede permissão para desassociar um documento do SSM especificado de uma instância especificada |
Gravar |
|||
Concede permissão para excluir um conector de nuvem especificado |
Gravar |
|||
Concede permissão para excluir um documento do SSM especificado e suas associações de instância |
Gravar |
|||
Concede permissão para excluir um tipo de inventário personalizado especificado ou os dados associados a um tipo de inventário personalizado |
Gravação |
|||
Concede permissão para excluir uma janela de manutenção especificada |
Gravar |
|||
Concede permissão para excluir um OpsItem |
Gravar |
|||
Concede permissão para excluir um OpsMetadata objeto |
Gravar |
|||
Concede permissão para excluir um parâmetro do SSM especificado |
Gravar |
|||
Concede permissão para excluir vários parâmetros do SSM especificados |
Gravar |
|||
Concede permissão para excluir uma linha de base de patch especificada |
Gravar |
|||
Concede permissão para excluir uma sincronização de dados de recurso especificada |
Gravar |
|||
Concede permissão para excluir uma política de recursos do Systems Manager |
Gerenciamento de permissões, gravação |
|||
Concede permissão para cancelar o registro de um servidor on-premises especificado ou uma máquina virtual (VM) do Systems Manager |
Gravar |
|||
Concede permissão para cancelar o registro de uma linha de base de patch especificada de modo a impedir que a linha de base de patch torne-se padrão para um grupo de patches especificado |
Gravar |
|||
Concede permissão para cancelar o registro de um destino especificado de uma janela de manutenção |
Gravar |
|||
Concede permissão para cancelar o registro de uma tarefa especificada de uma janela de manutenção |
Gravar |
|||
Concede permissão para exibir detalhes sobre uma ativação de instância gerenciada especificada, como quando ela foi criada e o número de instâncias registradas usando a ativação |
Leitura |
|||
Concede permissão para exibir detalhes sobre a associação especificada para uma instância ou destino especificado |
Ler |
|||
Concede permissão para exibir informações sobre uma execução de associação especificada |
Ler |
|||
Concede permissão para exibir todas as execuções de uma associação especificada |
Ler |
|||
Concede permissão para exibir detalhes sobre todas as execuções de automação ativas e encerradas |
Leitura |
|||
Concede permissão para exibir informações sobre todas as execuções de etapas ativas e finalizadas em um fluxo de trabalho de automação |
Ler |
|||
Concede permissão para exibir todos os patches elegíveis para inclusão em uma linha de base de patch |
Leitura |
|||
Concede permissão para exibir detalhes sobre um documento do SSM especificado |
Ler |
|||
Concede permissão para exibir informações sobre parâmetros de documento do SSM no console do Systems Manager (ação interna do Systems Manager) |
Ler |
|||
Concede permissão para exibir as permissões de um documento do SSM especificado |
Ler |
|||
Concede permissão para exibir todas as associações atuais de uma instância especificada |
Ler |
|||
Concede permissão para exibir detalhes sobre os patches atualmente associados à linha de base de patch especificada (somente Windows) |
Ler |
|||
Concede permissão para exibir o status das associações de uma instância especificada |
Ler |
|||
Concede permissão para exibir detalhes sobre uma instância especificada |
Leitura |
|||
Concede permissão para exibir detalhes de status sobre patches em uma instância especificada |
Ler |
|||
Concede permissão para descrever o estado do patch de alto nível das instâncias no grupo de patches especificado |
Leitura |
|||
Concede permissão para exibir detalhes gerais sobre os patches em uma instância especificada |
Ler |
|||
Concede permissão ao console do Amazon EC2 do usuário para renderizar nós de instâncias gerenciadas |
Leitura |
|||
Concede permissão para exibir detalhes sobre uma exclusão de inventário especificada |
Leitura |
|||
Concede permissão para exibir detalhes de uma execução de tarefa especificada para uma janela de manutenção |
Listar |
|||
Concede permissão para exibir detalhes sobre as tarefas realizadas durante a execução de uma janela de manutenção especificada |
Listar |
|||
Concede permissão para exibir as execuções de uma janela de manutenção especificada |
Lista |
|||
Concede permissão para exibir detalhes sobre execuções futuras de uma janela de manutenção especificada |
Listar |
|||
Concede permissão para exibir uma lista dos destinos associados a uma janela de manutenção especificada |
Lista |
|||
Concede permissão para exibir uma lista das tarefas associadas a uma janela de manutenção especificada |
Lista |
|||
Concede permissão para exibir informações sobre todas as janelas de manutenção ou sobre as janelas de manutenção especificadas |
Listar |
|||
Concede permissão para exibir informações sobre os destinos da janela de manutenção e as tarefas associadas a uma instância especificada |
Lista |
|||
Concede permissão para visualizar detalhes sobre especificados OpsItems |
Ler |
|||
Concede permissão para exibir detalhes sobre um parâmetro do SSM especificado |
Listar |
|||
Concede permissão para exibir informações sobre linhas de base de patch que atendem aos critérios especificados |
Listar |
|||
Concede permissão para exibir detalhes de status agregados para patches de um grupo de patches especificado |
Lista |
|||
Concede permissão para exibir informações sobre a lista de referência de patches para um grupo de patches especificado |
Listar |
|||
Concede permissão para exibir detalhes de patches disponíveis para um sistema operacional especificado e uma propriedade de patch |
Listar |
|||
Concede permissão para exibir uma lista de sessões recentes do gerenciador de sessão que atendem aos critérios de pesquisa especificados |
Lista |
|||
Concede permissão para se desassociar RelatedItem de um OpsItem |
Gravar |
|||
Concede permissão a um administrador delegado do Systems Manager para visualizar detalhes de recursos relacionados OpsItems em várias AWS contas no Console de gerenciamento da AWS |
Ler |
|||
Concede permissão para retornar um conjunto de credenciais para ser usado com acesso a nós just-in-time |
Ler |
|||
Concede permissão para exibir detalhes de uma execução de automação especificada |
Ler |
|||
Concede permissão para visualizar o estado do calendário de um calendário de alteração ou de uma lista de calendários de alteração |
Ler |
|||
Concede permissão para visualizar detalhes sobre um conector de nuvem especificado |
Ler |
|||
Concede permissão para exibir detalhes sobre a execução do comando de uma invocação ou plugin especificado |
Leitura |
|||
Concede permissão para exibir o status de conexão do gerenciador de sessão para uma instância gerenciada especificada |
Ler |
|||
Concede permissão para exibir a lista de referência de patches padrão atual para um tipo de sistema operacional especificado |
Ler |
|||
Concede permissão para recuperar o snapshot da lista de referência de patches atual para uma instância especificada |
Leitura |
|||
Concede permissão para visualizar o conteúdo de um documento do SSM especificado |
Ler |
|||
Concede permissão para recuperar uma visualização existente que mostra os efeitos que a execução de um runbook de automação específico teria nos recursos de destino |
Ler |
|||
Concede permissão para exibir detalhes do inventário da instância de acordo com os critérios especificados |
Leitura |
|||
Concede permissão para exibir uma lista de tipos de inventário ou nomes de atributos para um tipo de item de inventário especificado |
Leitura |
|||
Concede permissão para exibir detalhes sobre uma janela de manutenção especificada |
Ler |
|||
Concede permissão para exibir detalhes sobre a execução de uma janela de manutenção especificada |
Leitura |
|||
Concede permissão para exibir detalhes sobre a tarefa de execução de uma janela de manutenção especificada |
Leitura |
|||
Concede permissão para exibir detalhes sobre a tarefa de uma janela de manutenção específica em execução em um destino específico |
Leitura |
|||
Concede permissão para exibir detalhes sobre tarefas registradas com uma janela de manutenção especificada |
Ler |
|||
Concede permissão para visualizar informações sobre um determinado OpsItem |
Ler |
|||
Concede permissão para recuperar um objeto OpsMetadata |
Ler |
|||
Concede permissão para visualizar informações resumidas com OpsItems base em filtros e agregadores especificados |
Ler |
|||
Concede permissão para exibir informações sobre um parâmetro especificado |
Ler |
|||
Concede permissão para exibir detalhes e alterações para um parâmetro especificado |
Ler |
|||
Concede permissão para exibir informações sobre vários parâmetros especificados |
Ler |
|||
Concede permissão para exibir informações sobre parâmetros em uma hierarquia especificada |
Ler |
|||
Concede permissão para exibir informações sobre uma lista de referência de patches especificada |
Ler |
|||
Concede permissão para exibir o ID da lista de referência de patches atual para um grupo de patches especificado |
Ler |
|||
Concede permissão para recuperar listas de políticas de recursos do Systems Manager |
Lista |
|||
Concede permissão para visualizar a configuração no nível da conta de um serviço AWS |
Ler |
|||
Concede permissão para aplicar um rótulo de identificação a uma versão especificada de um parâmetro |
Gravar |
|||
Concede permissão para listar versões da associação especificada |
Lista |
|||
Concede permissão para listar as associações de um documento do SSM especificado ou uma instância gerenciada |
Lista |
|||
Concede permissão para listar conectores de nuvem em sua conta |
Lista |
|||
Concede permissão para listar informações sobre invocações de comando enviadas para uma instância especificada |
Lista |
|||
Concede permissão para listar os comandos enviados para uma instância especificada |
Lista |
|||
Concede permissão para listar status de conformidade para os tipos de recursos especificados em um recurso especificado |
Listar |
|||
Concede permissão para listar uma contagem de resumo de recursos compatíveis e não compatíveis para um tipo de conformidade especificada |
Listar |
|||
Concede permissão para exibir o histórico de metadados sobre um documento SSM especificado |
Lista |
|||
Concede permissão para listar todas as versões de um documento especificado |
Lista |
|||
Concede permissão para exibir informações sobre um documento do SSM especificado |
Lista |
|||
Concede permissão ao SSM Agent para verificar se há novas associações do gerenciador de estados (chamada interna do Systems Manager) |
Lista |
|||
Concede permissão para exibir uma lista de tipos de inventário especificados para uma instância especificada |
Lista |
|||
Concede permissão para exibir detalhes sobre nós gerenciados com base em filtros especificados |
Lista |
|||
Concede permissão para exibir informações resumidas sobre nós gerenciados com base em filtros e agregadores especificados |
Lista |
|||
Concede permissão para visualizar detalhes sobre OpsItemEvents |
Lista |
|||
Concede permissão para visualizar detalhes sobre OpsItem RelatedItems |
Lista |
|||
Concede permissão para visualizar uma lista de OpsMetadata objetos |
Lista |
|||
Concede permissão para listar a contagem resumida no nível de recursos |
Listar |
|||
Concede permissão para listar informações sobre configurações de sincronização de dados de recursos em uma conta |
Lista |
|||
Concede permissão para visualizar uma lista de etiquetas de recursos para um recurso especificado |
Lista |
|||
Concede permissão para compartilhar um documento SSM personalizado de forma pública ou privada com contas específicas AWS |
Gerenciamento de permissões, gravação |
|||
Concede permissão para registrar um tipo de conformidade e outros detalhes de conformidade em um recurso designado. |
Gravar |
|||
Concede permissão para adicionar ou atualizar itens de inventário em várias instâncias gerenciadas especificadas |
Gravar |
|||
Concede permissão para criar um parâmetro do SSM |
Gravar |
|||
Concede permissão para criar ou atualizar uma política de recurso do Systems Manager |
Gerenciamento de permissões, gravação |
|||
Concede permissão para especificar a lista de referência de patches padrão para um tipo de sistema operacional |
Gravar |
|||
Concede permissão para registrar um Systems Manager Agent |
Gravar |
|||
Concede permissão para especificar a linha de base de patch padrão para um grupo de patches especificado |
Gravar |
|||
Concede permissão para registrar um destino com uma janela de manutenção especificada |
Gravar |
|||
Concede permissão para registrar uma tarefa com uma janela de manutenção especificada |
Gravar |
|||
Concede permissão para remover uma chave da etiqueta especificada de um recurso especificado |
Marcação, gravação |
|||
Concede permissão para redefinir a configuração do serviço de an Conta da AWS para o valor padrão |
Gravar |
|||
Concede permissão para reconectar uma sessão do gerenciador de sessão a uma instância gerenciada |
Gravar |
|||
Concede permissão para enviar um sinal para alterar o comportamento ou status atual da execução de uma automação especificada |
Gravar |
|||
Concede permissão para executar comandos em uma ou mais instâncias gerenciadas especificadas |
Gravar |
|||
Concede permissão para iniciar o fluxo de trabalho para sessões de acesso a nós just-in-time |
Gravar |
|||
Concede permissão para executar manualmente uma associação especificada |
Gravar |
|||
Concede permissão para iniciar a execução de um Documento de automação |
Gravar |
|||
Concede permissão para iniciar a execução de um documento Modelo de Alteração de Automação |
Gravar |
|||
Concede permissão para criar uma visualização que mostra os efeitos que a execução de um runbook de automação específico teria nos recursos de destino |
Ler |
|||
Concede permissão para iniciar uma conexão com um destino especificado para uma sessão do gerenciador de sessão |
Gravar |
|||
Concede permissão para interromper uma execução de automação especificada que já está em andamento |
Gravar |
|||
Concede permissão para encerrar permanentemente uma conexão do Gerenciador de Sessões a uma instância |
Gravar |
|||
Concede permissão para remover um rótulo de identificação de uma versão especificada de um parâmetro |
Gravar |
|||
Concede permissão para atualizar uma associação e executar imediatamente a associação nos destinos especificados |
Gravar |
|||
Concede permissão para atualizar o status do documento do SSM associado a uma instância especificada |
Gravar |
|||
Concede permissão para atualizar um conector de nuvem especificado |
Gravar |
|||
Concede permissão para atualizar um ou mais valores para um documento do SSM |
Gravar |
|||
Concede permissão para alterar a versão padrão de um documento do SSM |
Gravar |
|||
Concede permissão para atualizar os metadados de um documento SSM |
Gravar |
|||
Concede permissão ao SSM Agent para enviar um sinal de pulsação para o serviço Systems Manager na nuvem |
Gravar |
|||
Concede permissão para atualizar uma janela de manutenção especificada |
Gravar |
|||
Concede permissão para atualizar um destino da janela de manutenção especificada |
Gravar |
|||
Concede permissão para atualizar uma tarefa de janela de manutenção especificada |
Gravar |
|||
Concede permissão para atribuir ou alterar a função do IAM atribuída a uma instância gerenciada especificada |
Gravar |
|||
Concede permissão para editar ou alterar um OpsItem |
Gravar |
|||
Concede permissão para atualizar um OpsMetadata objeto |
Gravação |
|||
Concede permissão para atualizar uma linha de base de patch especificada |
Gravar |
|||
Concede permissão para atualizar uma sincronização de dados de recursos |
Gravar |
|||
Concede permissão para atualizar a configuração do serviço para um Conta da AWS |
Gravar |
|||
Concede permissão para verificar se um conector de nuvem especificado está funcionando corretamente e para recuperar quaisquer descobertas de validação ou problemas detectados |
Ler |
Permission-only ações para AWS Systems Manager
As ações a seguir são definidas pelo AWS Systems Manager, mas não podem ser invocadas diretamente por meio de nenhuma operação de API. Eles só podem ser usados em declarações de política do IAM para conceder ou negar permissões.
| Ações | Description | Tipos de recursos (*necessários) | Chaves de condição | Nível de acesso |
|---|---|---|---|---|
Concede permissão para visualizar detalhes de um calendário específico |
Ler |
|||
Concede permissão ao Systems Manager e ao SSM Agent para determinar os requisitos de instalação do pacote para uma instância (chamada interna do Systems Manager) |
Ler |
|||
Concede permissão para create/edit um calendário específico |
Gravar |
|||
Concede permissão ao SSM Agent para gerar um relatório dos resultados de solicitações específicas do agente (chamada interna do Systems Manager) |
Ler |
|||
Concede permissão ao SSM Agent para recuperar credenciais temporárias para acessar o nó gerenciado (chamada interna do Systems Manager) |
Gravar |
|||
Concede permissão ao SSM Agent para atualizar o status da associação que está sendo executada no momento (chamada interna do Systems Manager) |
Gravar |
|||
Concede permissão ao SSM Agent para atualizar a chave pública do nó gerenciado após a rotação do par de chaves (chamada interna do Systems Manager) |
Gravar |
|||
Tipos de recursos definidos por AWS Systems Manager
Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM.
| Resource types | ARN | Chaves de condição |
|---|---|---|
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :association/$ {} AssociationId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :definição-automação/$ {} :$ {} AutomationDefinitionName VersionId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :automation-execution/$ {} AutomationExecutionId |
||
arn: $ {Partition} :s3: ::$ {} BucketName |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :cloud-connector/$ {} CloudConnectorId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :document/$ {} DocumentName |
||
arn: $ {Partition} :iam: :$ {Account} :role/$ {} RoleName |
||
arn: $ {Partition} :ec2: $ {Region} :$ {Account} :instance/$ {} InstanceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :maintainancewindow/$ {} ResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :managed-instance/$ {} InstanceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :managed-instance-inventory/$ {} InstanceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :opsitem/$ {} ResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account}: opsitemgroup/default |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :opsmetadata/$ {} ResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :parameter/$ {} ParameterNameWithoutLeadingSlash |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :patchbaseline/$ {} PatchBaselineIdResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :resource-data-sync/$ {} SyncName |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :servicesetting/$ {} ResourceId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :session/$ {} SessionId |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :task/$ {} TaskId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :windowtarget/$ {} WindowTargetId |
||
arn: $ {Partition} :ssm: $ {Region} :$ {Account} :windowtask/$ {} WindowTaskId |
Chaves de condição para AWS Systems Manager
AWS O Systems Manager define as seguintes chaves de condição que podem ser usadas no Condition elemento de uma política do IAM.
| Chaves de condição | Descrição | Tipo |
|---|---|---|
Filtra o acesso pelas solicitações "Criar" com base no conjunto de valores permitidos para uma etiqueta especificada |
Segmento |
|
Filtra o acesso com base em um par de chave-valor de tag atribuído ao recurso AWS |
String |
|
Filtra o acesso pelas solicitações "Criar" com base em na inclusão das etiquetas obrigatórias na solicitação |
ArrayOfString |
|
Filtra o acesso pelo ARN da instância da qual a solicitação se originou. |
ARN |
|
Filtra o acesso verificando se um usuário tem acesso ao ID de solicitação de acesso especificado na solicitação |
String |
|
Filtra o acesso verificando se o usuário tem permissão para iniciar fluxos de trabalho do Change Manager sem uma etapa de revisão (com exceção dos eventos de congelamento de alterações) |
Bool |
|
Filtra o acesso verificando se o usuário tem permissão para acessar um documento pertencente a uma categoria enum específica |
ArrayOfString |
|
Filtra o acesso verificando se o usuário tem permissão para acessar um documento pertencente a um tipo de documento específico. Disponível somente nas partições “aws”, “aws-cn” e “aws-us-gov” |
String |
|
Filtra o acesso verificando se um usuário tem permissão para acessar uma versão específica de um documento |
ArrayOfString |
|
Filtra o acesso verificando se um usuário também tem acesso ao InventoryType especificado na solicitação |
ArrayOfString |
|
Filtra o acesso pelo Conta da AWS ID associado ao nó gerenciado que faz a solicitação. Disponível somente em políticas de endpoint de VPC e políticas de controle de serviços (SCPs) |
String |
|
Filtra o acesso pelo ID do AWS Organizations associado ao nó gerenciado que faz a solicitação. Disponível somente em políticas de endpoint de VPC e políticas de controle de serviços (SCPs) |
String |
|
Filtra o acesso controlando se os parâmetros do Systems Manager podem ser substituídos |
String |
|
Filtra o acesso controlando se uma entidade do IAM (usuário ou perfil) pode criar ou atualizar um parâmetro que inclua uma política de parâmetros |
String |
|
Filtra o acesso pelos parâmetros do Systems Manager criados em uma estrutura hierárquica |
String |
|
Filtra o acesso verificando se um usuário tem permissão para acessar o documento de configuração padrão do Gerenciador de Sessões ou o documento de configuração personalizado especificado em uma solicitação |
Bool |
|
Filtra o acesso verificando o Amazon Resource Name (ARN) da instância gerenciada AWS do Systems Manager a partir da qual a solicitação é feita. Essa chave não está presente quando a solicitação vem de uma instância gerenciada autenticada com um perfil do IAM associado a um perfil de instância do EC2 |
ARN |
|
Filtra o acesso verificando se um usuário também tem acesso ao ResourceDataSync SyncType especificado na solicitação |
String |
|
Filtra o acesso por um par de chave/valor da etiqueta atribuído ao recurso Systems Manager |
String |
|
Filtra o acesso com base em um par de chave-valor de tag atribuído ao recurso de sessão do Systems Manager |
String |
|
Filtra o acesso com base em um par de chave-valor de tag atribuído ao recurso de sessão do Systems Manager |
String |
|
Filtra o acesso com base em um par de chave-valor da etiqueta atribuído ao recurso Systems Manager |
String |
