Configuração de permissões para Compliance - AWS Systems Manager

• O AWS Systems Manager Change Manager não está mais aberto para novos clientes. Os clientes atuais podem continuar usando o serviço normalmente. Para obter mais informações, consulte mudança de disponibilidade do AWS Systems Manager Change Manager.

 

• O AWS Systems Manager CloudWatch Dashboard não estará mais disponível a partir de 30 de abril de 2026. Os clientes podem continuar usando o console do Amazon CloudWatch para visualizar, criar e gerenciar os painéis do Amazon CloudWatch exatamente como fazem hoje. Para obter mais informações, consulte a documentação do Amazon CloudWatch.

Configuração de permissões para Compliance

Como prática recomendada de segurança, recomendamos que você atualize o perfil (IAM) AWS Identity and Access Management usado pelos nós gerenciados com as seguintes permissões para restringir a capacidade do nó de usar a ação da API PutComplianceItems. Essa ação de API registra um tipo de conformidade e outros detalhes de conformidade em um recurso designado, como uma instância do Amazon EC2 ou um nó gerenciado.

Se o seu nó for uma instância do Amazon EC2, você deverá atualizar o perfil de instância do IAM usado pela instância com as seguintes permissões. Para obter mais informações sobre perfis de instância para instâncias EC2 gerenciadas pelo Systems Manager, consulte Configurar permissões de instância obrigatórias para o Systems Manager. Para outros tipos de nós gerenciados, atualize o perfil do IAM usada pelo nó com as seguintes permissões. Para obter mais informações, consulte Atualizar permissões para um perfil no Guia do usuário do IAM.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutComplianceItems"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:SourceInstanceARN": "${ec2:SourceInstanceARN}"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutComplianceItems"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ssm:SourceInstanceARN": "${ssm:SourceInstanceARN}"
                }
            }
        }
    ]
}