Trabalhar com associações usando o IAM - AWS Systems Manager

• O AWS Systems Manager Change Manager não está mais aberto para novos clientes. Os clientes atuais podem continuar usando o serviço normalmente. Para obter mais informações, consulte mudança de disponibilidade do AWS Systems Manager Change Manager.

 

• O AWS Systems Manager CloudWatch Dashboard não estará mais disponível a partir de 30 de abril de 2026. Os clientes podem continuar usando o console do Amazon CloudWatch para visualizar, criar e gerenciar os painéis do Amazon CloudWatch exatamente como fazem hoje. Para obter mais informações, consulte a documentação do Amazon CloudWatch.

Trabalhar com associações usando o IAM

O State Manager, uma ferramenta do AWS Systems Manager, usa destinos para escolher com quais instâncias você configura suas associações. Originalmente, as associações foram criadas especificando um nome de documento (Name) e ID da instância (InstanceId). Isso criou uma associação entre um documento e uma instância ou nó gerenciado. As associações eram identificadas por esses parâmetros. Esses parâmetros agora estão obsoletos, mas ainda são suportados. Os recursos instance e managed-instance foram adicionados como recursos para ações com Name e InstanceId.

AWS Identity and Access Management O comportamento de imposição de políticas (IAM) depende do tipo de recurso especificado. Recursos para operações do State Manager são aplicadas somente com base na solicitação passada. O State Manager não executa uma verificação profunda das propriedades dos recursos na sua conta. Uma solicitação só é validada em relação a recursos de política se o parâmetro de solicitação contiver os recursos de política especificados. Por exemplo, se você especificar uma instância no bloco de recursos, a política será imposta se a solicitação usar o parâmetro InstanceId. O parâmetro Targets para cada recurso na conta não é verificado para esse InstanceId.

A seguir estão alguns casos com comportamento confuso:

  • DescribeAssociation, DeleteAssociation e UpdateAssociation usam os recursos instance, managed-instance e document para especificar a forma defasada de se referir a associações. Isso inclui todas as associações criadas com o parâmetro InstanceId defasado.

  • CreateAssociation, CreateAssociationBatch e UpdateAssociation usam recursos da instance e das managed-instance para especificar a maneira defasada de se referir a associações. Isso inclui todas as associações criadas com o parâmetro InstanceId defasado. O tipo de recurso document é parte da maneira obsoleta de se referir a associações e é uma propriedade real de uma associação. Isso significa que você pode construir políticas do IAM com permissões Allow ou Deny para as ações Create e Update com base no nome do documento.

Para obter mais informações sobre como usar políticas do IAM com o Systems Manager, consulte Gerenciamento de identidade e acesso para o AWS Systems Manager ou Ações, recursos e chaves de condição para o AWS Systems Manager na Referência de autorização do serviço.