AWSSupport-SetupConfig - AWS Systems Manager Referência do runbook de automação

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

AWSSupport-SetupConfig

Descrição

O AWSSupport-SetupConfig runbook cria uma função vinculada ao serviço AWS Identity and Access Management (IAM), um gravador de configuração alimentado por AWS Config e um canal de entrega com um bucket do Amazon Simple Storage Service (Amazon S3) AWS Config que envia snapshots de configuração e arquivos de histórico de configuração. Se você especificar valores para os AggregatorAccountRegion parâmetros AggregatorAccountId e, o runbook também cria autorizações para agregação de dados para coletar dados de AWS Config configuração e conformidade de vários e vários Contas da AWS . Regiões da AWS Para saber mais sobre como agregar dados de várias contas e regiões, consulte Agregação de dados de várias regiões e várias contas no Guia do desenvolvedor do AWS Config .

Execute esta automação (console)

Tipo de documento

Automação

Proprietário

Amazon

Plataformas

Linux, macOS, Windows

Parâmetros

  • AutomationAssumeRole

    Tipo: String

    Descrição: (opcional) o nome do recurso da Amazon (ARN) do perfil do AWS Identity and Access Management (IAM) que permite que o Systems Manager Automation realize ações em seu nome. Se nenhum perfil for especificado, o Systems Manager Automation usa as permissões do usuário que inicia este runbook.

  • AggregatorAccountId

    Tipo: string

    Descrição: (Opcional) O ID do Conta da AWS local em que um agregador será adicionado aos dados agregados de AWS Config configuração e conformidade de várias contas e. Regiões da AWS Essa conta também é usada pelo agregador para autorizar as contas de origem.

  • AggregatorAccountRegion

    Tipo: string

    Descrição: (Opcional) A região em que um agregador será adicionado para agregar dados de AWS Config configuração e conformidade de várias contas e regiões.

  • IncludeGlobalResourcesRegion

    Tipo: string

    Padrão: us-east-1

    Descrição: (obrigatório) para evitar o registro de dados de recursos globais em cada região, especifique uma região da qual registrar dados de recursos globais.

  • Partition

    Tipo: string

    Padrão: aws

    Descrição: (obrigatório) a partição da qual você deseja coletar dados de configuração e conformidade do AWS Config .

  • S3 BucketName

    Tipo: string

    Padrão: aws-config-delivery-channel

    Descrição: (opcional) o nome que você deseja aplicar ao bucket do Amazon S3 criado para o canal de entrega. O ID da conta é anexado ao final do nome.

Permissões obrigatórias do IAM

O parâmetro AutomationAssumeRole requer as seguintes ações para usar o runbook com êxito.

  • ssm:StartAutomationExecution

  • ssm:GetAutomationExecution

  • config:DescribeConfigurationRecorders

  • config:DescribeDeliveryChannels

  • config:PutAggregationAuthorization

  • config:PutConfigurationRecorder

  • config:PutDeliveryChannel

  • config:StartConfigurationRecorder

  • iam:CreateServiceLinkedRole

  • iam:PassRole

  • s3:CreateBucket

  • s3:ListAllMyBuckets

  • s3:PutBucketPolicy

Etapas do documento

  • aws:executeScript: cria um perfil do IAM vinculado ao serviço para o AWS Config , caso ainda não exista.

  • aws:executeScript: cria um gravador de configuração, caso ainda não exista.

  • aws:executeScript: cria um bucket do Amazon S3 para ser usado pelo canal de entrega, caso ainda não exista.

  • aws:executeScript: cria um canal de entrega usando os recursos criados pelo runbook.

  • aws:executeAwsApi: parar ou iniciar o gravador de configuração.

  • aws:executeScript: se você especificou valores para os parâmetros AggregatorAccountId e AggregatorAccountRegion, as autorizações para agregação de dados de várias contas e várias regiões serão configuradas.