View a markdown version of this page

AWS Systems Manager 中的数据边界 - AWS Systems Manager

AWS Systems Manager 中的数据边界

数据边界是 AWS 环境中的一组预防性护栏，可帮助确保只有来自预期网络和资源的可信身份才能访问您的数据。在实施数据边界控制时，可能需要包括 Systems Manager 代表您访问的 AWS 服务自有资源的例外情况。

示例场景：SSM 文档类别 S3 存储桶

Systems Manager 访问 AWS 托管的 S3 存储桶，以检索 AWS Systems Manager 文档 的文档类别信息。此存储桶包含有关文档类别的元数据，可帮助在控制台中组织和分类 SSM 文档。

资源 ARN 模式

arn:aws:s3:::ssm-document-categories-region

区域示例：

  • arn:aws:s3:::ssm-document-categories-us-east-1

  • arn:aws:s3:::ssm-document-categories-us-west-2

  • arn:aws:s3:::ssm-document-categories-eu-west-1

  • arn:aws:s3:::ssm-document-categories-ap-northeast-1

访问时

当您在 Systems Manager 控制台中查看 SSM 文档或使用检索文档元数据和类别的 API 时，可以访问此资源。

存储的数据

存储桶包含带有文档类别定义和元数据的 JSON 文件。此数据为只读数据，不包含客户特定信息。

使用的身份

Systems Manager 使用 AWS 服务凭证代表您的请求访问此资源。

所需的权限

对存储桶内容的 s3:GetObject。

数据边界策略注意事项

使用具有 aws:ResourceOrgID 等条件的服务控制策略（SCP）或 VPC 端点策略实施数据边界控制时，需要为 Systems Manager 所需的 AWS 服务自有资源创建例外情况。

例如，如果您使用具有 aws:ResourceOrgID 的 SCP 来限制对组织外部资源的访问，则需要为 SSM 文档类别存储桶添加例外情况。

该策略需要访问组织外部的资源，但要包含对相应 S3 存储桶的例外情况，以便 Systems Manager 能够继续正常运行。

同样，如果您使用 VPC 端点策略以限制 S3 访问，则需确保可通过您的 VPC 端点访问 SSM 文档类别存储桶。

示例应用场景：混合节点注册 API

混合节点并非原生属于 AWS 账户，而是注册到某个账户。因此，ssm:RegisterManagedInstance、ssm:RequestManagedInstanceRoleToken 和 ssm:UpdateManagedInstancePublicKey API 在对混合节点进行身份验证时不会使用 AWS 签名版本 4（SigV4）。

因此，策略评估无法访问 AWS 主体身份或全局上下文键，例如 aws:PrincipalOrgId、aws:PrincipalAccount 和 aws:SourceAccount。当混合节点尝试注册时，依赖这些全局键或 AWS 主体身份的服务控制策略（SCP）和 VPC 端点策略可能会阻止这三个 API。这可能导致混合节点无法完成注册。

要根据账户或组织成员资格限制对这些 API 的访问，请使用以下 Systems Manager 条件键，这些条件键对 Amazon EC2 实例和混合节点均可实现一致解析：

  • ssm:NodeAccountId：解析为 Amazon EC2 实例所在的账户，或混合节点注册到的账户。

  • ssm:NodeOrgId：解析为拥有 Amazon EC2 实例账户的组织，或混合节点注册到的账户所属的组织。

更多信息

有关 AWS 中的数据边界的更多信息，请参阅以下主题：