View a markdown version of this page

AWS-MigrateSSMDocumentSharingToRAM - AWS Systems Manager Referência do runbooks de automação

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

AWS-MigrateSSMDocumentSharingToRAM

Description

O AWS-MigrateSSMDocumentSharingToRAM runbook migra um documento do Systems Manager para um compartilhamento de recursos AWS Resource Access Manager (AWS RAM). O documento passa do compartilhamento de permissões de conta, que você gerencia com a operação da ModifyDocumentPermission API. A migração preserva os consumidores existentes do documento. Você pode migrar um único documento. Você também pode migrar todos os documentos da sua conta que usam o compartilhamento de permissões da conta. Para migrar todos os documentos, especifique * o DocumentName parâmetro.

O runbook reverte automaticamente a migração se ela falhar ou for cancelada, para que sua configuração de compartilhamento existente seja restaurada.

Recomendamos que você conclua a migração usando a página Migrar para RAM no AWS Systems Manager console. Esse assistente de migração seleciona os documentos a serem migrados e define os parâmetros do runbook para você, o que reduz a chance de erro. Para ver as etapas, consulte Para migrar um documento da visualização Permissões (console).

Importante

Depois que um documento é migrado para AWS RAM, as operações da DescribeDocumentPermission API ModifyDocumentPermission e retornam um 4xx erro para esse documento. Após a migração, gerencie o compartilhamento do documento por meio de AWS RAM.

nota

Antes de executar esse runbook, verifique se o documento de destino atualmente usa o compartilhamento de permissões de conta e se você configurou as permissões do IAM descritas neste tópico.

nota

Você não pode migrar um documento compartilhado publicamente, pois AWS RAM oferece suporte somente ao compartilhamento privado. Se você especificar um documento compartilhado publicamente paraDocumentName, o runbook falhará. Se você migrar todos os documentos especificando*, o runbook ignora os documentos compartilhados publicamente. Para migrar um documento compartilhado publicamente, primeiro pare de compartilhá-lo publicamente e depois compartilhe-o com as contas, unidades organizacionais (OUs) ou organização que você deseja.

Tipo de documento

Automação

Proprietário

Amazon

Parâmetros

  • DocumentName (Obrigatório):

    • Descrição: (Obrigatório) O nome do documento do Systems Manager a ser migrado. Especifique * a migração de todos os documentos na conta que usam o compartilhamento de permissões de conta.

    • Tipo: String

  • AutomationAssumeRole (Obrigatório):

    • Descrição: (Obrigatório) O nome de recurso da Amazon (ARN) da função AWS Identity and Access Management (IAM) que permite que o Systems Manager Automation execute as ações em seu nome.

    • Tipo: String

  • OrganizationalUnits (Opcional):

    • Descrição: (Opcional) Um mapa do nome do documento para uma lista de IDs de unidades organizacionais (ou-*) e IDs de organização (o-*) com as quais compartilhar o documento. Use a * chave para definir um padrão para documentos que não têm sua própria entrada. Quando você fornece esse parâmetro para um documento, a migração concede acesso às unidades organizacionais ou organizações especificadas em vez de enumerar contas individuais. Essa abordagem:

      • Mantém a participação de recursos pequena.

      • Concede acesso automático às contas que posteriormente ingressam na unidade organizacional ou organização.

      • Ajuda você a ficar abaixo do AWS RAM limite de 5.000 associações principais por compartilhamento de recursos.

    • Tipo: StringMap

Execute esta automação (console)

Permissões obrigatórias do IAM

O AutomationAssumeRole parâmetro exige uma política de confiança e uma política de permissões. Anexe a seguinte política de confiança para que o Systems Manager Automation possa assumir a função.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Anexe a seguinte política de permissões. As declarações são organizadas em três grupos para que você possa conceder somente as permissões necessárias para sua migração.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Group1AlwaysRequired",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocumentPermission",
                "ssm:GetResourcePolicies",
                "ssm:PutResourcePolicy",
                "ssm:DeleteResourcePolicy",
                "ram:ListResources",
                "ram:GetResourceShares",
                "ram:PromoteResourceShareCreatedFromPolicy",
                "ram:DeleteResourceShare"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Group2BulkMigration",
            "Effect": "Allow",
            "Action": [
                "ssm:ListDocuments",
                "ssm:StartAutomationExecution",
                "ssm:GetAutomationExecution"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Group2BulkMigrationPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Sid": "Group3OrganizationalUnits",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListParents"
            ],
            "Resource": "*"
        }
    ]
}
nota

  • O Grupo 1 é sempre necessário, tanto para migração de documento único quanto para migração em massa.

  • O Grupo 2 é necessário somente para migração em massa (quando você especifica * paraDocumentName). Para a migração em massa, o runbook lista seus documentos e inicia uma execução de automação para cada documento, passando sua função para cada execução. Escopo iam:PassRole para o próprio ARN da AutomationAssumeRole função, conforme mostrado. Não use "Resource": "*" paraiam:PassRole. Substitua ACCOUNT_ID e ROLE_NAME pelo ID da sua conta e nome da função.

  • O grupo 3 é obrigatório somente quando você usa o OrganizationalUnits parâmetro para compartilhar com unidades organizacionais ou organizações.

Como executar este runbook
Para migrar um documento da visualização Permissões (console) (recomendado)

A página Migrar para RAM define os parâmetros do runbook para você.

  1. Abra o AWS Systems Manager console e, no painel de navegação, escolha Documentos.

  2. Escolha o documento que você deseja migrar.

  3. Escolha a guia Detalhes.

  4. Na seção Permissões, escolha Migrar para RAM. O Systems Manager abre a página Migrar para RAM, que ajuda você a definir os parâmetros para o AWS-MigrateSSMDocumentSharingToRAM runbook.

  5. Para documentos a serem migrados, selecione os documentos a serem migrados. Selecione documentos individuais ou escolha Todos os documentos para migrar todos os documentos na conta que usa o compartilhamento de permissões da conta. Isso define o DocumentName parâmetro.

  6. Para AutomationAssumeRole, escolha a função do IAM que o Systems Manager Automation assume para executar a migração. Isso define o AutomationAssumeRole parâmetro.

  7. (Opcional) Para unidades organizacionais, adicione uma ID da organização ou ID da unidade organizacional (OU) com a qual compartilhar os documentos. Isso define o OrganizationalUnits parâmetro.

  8. Escolha Iniciar migração para executar o AWS-MigrateSSMDocumentSharingToRAM runbook.

Para executar a automação (console)

  1. Abra o AWS Systems Manager console e, no painel de navegação, escolha Automação.

  2. Escolha Execute automation.

  3. Na lista Automation document (Documento de automação), escolha AWS-MigrateSSMDocumentSharingToRAM.

  4. Para os parâmetros de entrada, insira valores para DocumentName e eAutomationAssumeRole, opcionalmenteOrganizationalUnits.

  5. Clique em Executar.

Para executar a automação (AWS CLI) 


aws ssm start-automation-execution \
    --document-name AWS-MigrateSSMDocumentSharingToRAM \
    --parameters '{"DocumentName":["MyDocument"],"AutomationAssumeRole":["arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"]}'
nota

A execução desse runbook usa o Systems Manager Automation e gera cobranças. Para obter mais informações, consulte Preços do AWS Systems Manager.

Para saber mais