本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# AWS License Manager 的 受管政策
<a name="security-iam-awsmanpol"></a>

若要新增許可給使用者、群組和角色，使用 AWS 受管政策比自行撰寫政策更容易。建立 [IAM 客戶受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)需要時間和專業知識，而受管政策可為您的團隊提供其所需的許可。若要快速開始使用，您可以使用我們的 AWS 受管政策。這些政策涵蓋常見的使用案例，並可在您的 AWS 帳戶中使用。如需 AWS 受管政策的詳細資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。

AWS 服務會維護和更新 AWS 受管政策。您無法變更 AWS 受管政策中的許可。服務偶爾會在 AWS 受管政策中新增其他許可以支援新功能。此類型的更新會影響已連接政策的所有身分識別 (使用者、群組和角色)。當新功能啟動或新操作可用時，服務很可能會更新 AWS 受管政策。服務不會從 AWS 受管政策移除許可，因此政策更新不會破壞您現有的許可。

此外， AWS 支援跨多個 服務之任務函數的受管政策。例如，**ReadOnlyAccess** AWS 受管政策提供所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時， 會為新操作和資源 AWS 新增唯讀許可。如需任務職能政策的清單和說明，請參閱 *IAM 使用者指南*中[有關任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。

## AWS 受管政策： AWSLicenseManagerServiceRolePolicy
<a name="security-iam-AWSLicenseManagerServiceRolePolicy"></a>

此政策會連接到名為 的服務連結角色`AWSServiceRoleForAWSLicenseManagerRole`，以允許 License Manager 呼叫 API 動作來代表您管理授權。如需服務連結角色的詳細資訊，請參閱[核心角色的許可](license-manager-role-core.md#slr-permissions-core-role)。

角色許可政策允許 License Manager 對指定的資源完成下列動作。


| Action | 資源 ARN | 
| --- | --- | 
| iam:CreateServiceLinkedRole | arn:aws:iam::\*:role/aws-service-role/license-management.marketplace.amazonaws.com/AWSServiceRoleForMarketplaceLicenseManagement | 
| iam:CreateServiceLinkedRole | arn:aws:iam::\*:role/aws-service-role/license-manager.member-account.amazonaws.com/AWSServiceRoleForAWSLicenseManagerMemberAccountRole | 
| s3:GetBucketLocation | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:ListBucket | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:ListAllMyBuckets | \* | 
| s3:PutObject | arn:aws:s3:::aws-license-manager-service-\* | 
| sns:Publish | arn:aws::sns:\*:\*:aws-license-manager-service-\* | 
| sns:ListTopics | \* | 
| ec2:DescribeInstances | \* | 
| ec2:DescribeImages | \* | 
| ec2:DescribeHosts | \* | 
| ssm:ListInventoryEntries | \* | 
| ssm:GetInventory | \* | 
| ssm:CreateAssociation | \* | 
| ssm:GetCommandInvocation | \* | 
| ssm:SendCommand | arn:aws:ec2:\*:\*:instance/\* | 
| ssm:SendCommand | arn:aws:ssm:\*:\*:managed-instance/\* | 
| ssm:SendCommand | arn:aws:ssm:\*::document/AWSLicenseManager-\* | 
| organizations:ListAWSServiceAccessForOrganization | \* | 
| organizations:DescribeOrganization | \* | 
| organizations:ListDelegatedAdministrators | \* | 
| license-manager:GetServiceSettings | \* | 
| license-manager:GetLicense\* | \* | 
| license-manager:UpdateLicenseSpecificationsForResource | \* | 
| license-manager:List\* | \* | 

若要在 中檢視此政策的許可 AWS 管理主控台，請參閱 [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerServiceRolePolicy)。

## AWS 受管政策： AWSLicenseManagerMasterAccountRolePolicy
<a name="security-iam-AWSLicenseManagerMasterAccountRolePolicy"></a>

此政策會連接到名為 的服務連結角色`AWSServiceRoleForAWSLicenseManagerMasterAccountRole`，以允許 License Manager 呼叫 API 動作，以代表您執行中央管理帳戶的授權管理。如需服務連結角色的詳細資訊，請參閱[License Manager – 管理帳戶角色](management-role.md)。

角色許可政策允許 License Manager 對指定的資源完成下列動作。


| Action | 資源 ARN | 
| --- | --- | 
| s3:GetBucketLocation | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:ListBucket | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:GetLifecycleConfiguration | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:PutLifecycleConfiguration | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:GetBucketPolicy | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:PutBucketPolicy | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:AbortMultipartUpload | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:PutObject | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:GetObject | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:ListBucketMultipartUploads | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:ListMultipartUploadParts | arn:aws:s3:::aws-license-manager-service-\* | 
| s3:DeleteObject | arn:aws:s3:::aws-license-manager-service-\*/resource-sync/\* | 
| athena:GetQueryExecution | \* | 
| athena:GetQueryResults | \* | 
| athena:StartQueryExecution | \* | 
| glue:GetTable | \* | 
| glue:GetPartition | \* | 
| glue:GetPartitions | \* | 
| glue:CreateTable | 請參閱註腳 1 | 
| glue:UpdateTable | 請參閱註腳 1 | 
| glue:DeleteTable | 請參閱註腳 1 | 
| glue:UpdateJob | 請參閱註腳 1 | 
| glue:UpdateCrawler | 請參閱註腳 1 | 
| organizations:DescribeOrganization | \* | 
| organizations:ListAccounts | \* | 
| organizations:DescribeAccount | \* | 
| organizations:ListChildren | \* | 
| organizations:ListParents | \* | 
| organizations:ListAccountsForParent | \* | 
| organizations:ListRoots | \* | 
| organizations:ListAWSServiceAccessForOrganization | \* | 
| ram:GetResourceShares | \* | 
| ram:GetResourceShareAssociations | \* | 
| ram:TagResource | \* | 
| ram:CreateResourceShare | \* | 
| ram:AssociateResourceShare | \* | 
| ram:DisassociateResourceShare | \* | 
| ram:UpdateResourceShare | \* | 
| ram:DeleteResourceShare | \* | 
| resource-groups:PutGroupPolicy | \* | 
| iam:GetRole | \* | 
| iam:PassRole | arn:aws:iam::\*:role/LicenseManagerServiceResourceDataSyncRole\* | 
| cloudformation:UpdateStack | arn:aws:cloudformation:\*:\*:stack/LicenseManagerCrossAccountCloudDiscoveryStack/\* | 
| cloudformation:CreateStack | arn:aws:cloudformation:\*:\*:stack/LicenseManagerCrossAccountCloudDiscoveryStack/\* | 
| cloudformation:DeleteStack | arn:aws:cloudformation:\*:\*:stack/LicenseManagerCrossAccountCloudDiscoveryStack/\* | 
| cloudformation:DescribeStacks | arn:aws:cloudformation:\*:\*:stack/LicenseManagerCrossAccountCloudDiscoveryStack/\* | 

1 以下是為 AWS Glue 動作定義的資源：
+ `arn:aws:glue:*:*:catalog`
+ `arn:aws:glue:*:*:crawler/LicenseManagerResourceSynDataCrawler`
+ `arn:aws:glue:*:*:job/LicenseManagerResourceSynDataProcessJob`
+ `arn:aws:glue:*:*:table/license_manager_resource_inventory_db/*`
+ `arn:aws:glue:*:*:table/license_manager_resource_sync/*`
+ `arn:aws:glue:*:*:database/license_manager_resource_inventory_db`
+ `arn:aws:glue:*:*:database/license_manager_resource_sync`

若要在 中檢視此政策的許可 AWS 管理主控台，請參閱 [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerMasterAccountRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerMasterAccountRolePolicy)。

## AWS 受管政策： AWSLicenseManagerMemberAccountRolePolicy
<a name="security-iam-AWSLicenseManagerMemberAccountRolePolicy"></a>

此政策會連接至名為 的服務連結角色`AWSServiceRoleForAWSLicenseManagerMemberAccountRole`，以允許 License Manager 代表您從設定的管理帳戶呼叫授權管理的 API 動作。如需詳細資訊，請參閱[License Manager – 成員帳戶角色](member-role.md)。

角色許可政策允許 License Manager 對指定的資源完成下列動作。


| Action | 資源 ARN | 
| --- | --- | 
| license-manager:UpdateLicenseSpecificationsForResource | \* | 
| license-manager:GetLicenseConfiguration | \* | 
| ssm:ListInventoryEntries | \* | 
| ssm:GetInventory | \* | 
| ssm:CreateAssociation | \* | 
| ssm:CreateResourceDataSync | \* | 
| ssm:DeleteResourceDataSync | \* | 
| ssm:ListResourceDataSync | \* | 
| ssm:ListAssociations | \* | 
| ram:AcceptResourceShareInvitation | \* | 
| ram:GetResourceShareInvitations | \* | 

若要在 中檢視此政策的許可 AWS 管理主控台，請參閱 [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerMemberAccountRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerMemberAccountRolePolicy)。

## AWS 受管政策： AWSLicenseManagerConsumptionPolicy
<a name="security-iam-AWSLicenseManagerConsumptionPolicy"></a>

您可將 `AWSLicenseManagerConsumptionPolicy` 政策連接到 IAM 身分。此政策授予許可，允許存取取用授權所需的 License Manager API 動作。如需詳細資訊，請參閱[賣方在 License Manager 中發行的授權使用量](license-usage.md)。

若要檢視此政策的許可，請參閱 AWS 管理主控台中的 [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSLicenseManagerConsumptionPolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSLicenseManagerConsumptionPolicy)。

## AWS 受管政策： AWSLicenseManagerUserSubscriptionsServiceRolePolicy
<a name="security-iam-AWSLicenseManagerUserSubscriptionsServiceRolePolicy"></a>

此政策會連接到名為 `AWSServiceRoleForAWSLicenseManagerUserSubscriptionsService`政策的服務連結角色，以允許 License Manager 呼叫 API 動作來管理以使用者為基礎的訂閱資源。如需詳細資訊，請參閱[License Manager – 以使用者為基礎的訂閱角色](user-based-subscription-role.md)。

角色許可政策允許 License Manager 對指定的資源完成下列動作。


| Action | 資源 ARN | 
| --- | --- | 
| ds:DescribeDirectories | \* | 
| ds：GetAuthorizedApplicationDetails | \* | 
| ec2：CreateTags | arn：aws：ec2：\*：\*：instance/\* 1 | 
| ec2:DescribeInstances | \* | 
| ec2:DescribeNetworkInterfaces | \* | 
| ec2:DescribeSecurityGroupRules | \* | 
| ec2：DescribeSubnets | \* | 
| ec2:DescribeVpcPeeringConnections | \* | 
| ec2:TerminateInstances | arn：aws：ec2：\*：\*：instance/\* 1 | 
| route53:GetHostedZone | \* | 
| route53:ListResourceRecordSets | \* | 
| secretsmanager:GetSecretValue | arn：aws：secretsmanager：\*：\*：secret：license-manager-user-\* | 
| ssm:DescribeInstanceInformation | \* | 
| ssm:GetCommandInvocation | \* | 
| ssm:GetInventory | \* | 
| ssm:ListCommandInvocations | \* | 
| ssm:SendCommand | arn：aws：ssm：\*：：document/AWS-RunPowerShellScript 2arn：aws：ec2：\*：\*：instance/\* 2 | 

1 License Manager 只能在具有產品代碼 [bz0vcy31ooqlzk5tsash4r1ik](https://aws.amazon.com/marketplace/pp/prodview-dzstlnjdl3izg)、[77yzkpa7kvee1y1ttt7wnsdwoc](https://aws.amazon.com/marketplace/pp/prodview-bh46d5p2hapns)、[d44g89hc0gp9jdzm99rznthpw](https://aws.amazon.com/marketplace/pp/prodview-zo3zltrbpgr5i) 或 [5uypd9kpy863kwykrwn4bcolv](https://aws.amazon.com/marketplace/pp/prodview-4riznyn4eqlbw) 的執行個體上建立和終止標籤。

2 License Manager 只能在標籤名稱為 `AWSLicenseManager`且值為 的執行個體上執行具有 `AWS-RunPowerShellScript` 文件的 SSM Run Command`UserSubscriptions`。

若要在 中檢視此政策的許可 AWS 管理主控台，請參閱 [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerUserSubscriptionsServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerUserSubscriptionsServiceRolePolicy)。

## AWS 受管政策： AWSLicenseManagerLinuxSubscriptionsServiceRolePolicy
<a name="security-iam-AWSLicenseManagerLinuxSubscriptionsServiceRolePolicy"></a>

此政策會連接到名為 `AWSServiceRoleForAWSLicenseManagerLinuxSubscriptionsService`政策的服務連結角色，以允許 License Manager 呼叫 API 動作來管理 Linux 訂閱資源。如需詳細資訊，請參閱[License Manager – Linux 訂閱角色](linux-subscriptions-role.md)。

角色許可政策允許 License Manager 對指定的資源完成下列動作。


| Action | 條件 | 資源 | 
| --- | --- | --- | 
| ec2:DescribeInstances | N/A | \* | 
| ec2:DescribeRegions | N/A | \* | 
| organizations:DescribeOrganization | N/A | \* | 
| organizations:ListAccounts | N/A | \* | 
| organizations:DescribeAccount | N/A | \* | 
| organizations:ListChildren | N/A | \* | 
| organizations:ListParents | N/A | \* | 
| organizations:ListAccountsForParent | N/A | \* | 
| organizations:ListRoots | N/A | \* | 
| organizations:ListAWSServiceAccessForOrganization | N/A | \* | 
| organizations:ListDelegatedAdministrators | N/A | \* | 
| secretsmanager:GetSecretValue | StringEquals：<br />*"aws：ResourceTag/LicenseManagerLinuxSubscriptions"： "enabled"*<br />*"aws：ResourceAccount"： "${aws：PrincipalAccount}"* | arn:aws:secretsmanager:\*:\*:secret:\* | 
| kms:解密 | StringEquals：<br />*"aws：ResourceTag/LicenseManagerLinuxSubscriptions"： "enabled"，*<br />*"aws：ResourceAccount"： "${aws：PrincipalAccount}"*<br />**<br />StringLike：<br />*"kms:ViaService"： 【 "secretsmanager.\*.amazonaws.com" 】* | arn:aws:kms:\*:\*:key/\* | 

若要在 中檢視此政策的許可 AWS 管理主控台，請參閱 [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerLinuxSubscriptionsServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSLicenseManagerLinuxSubscriptionsServiceRolePolicy)。

## AWS 受管政策的 License Manager 更新
<a name="security-iam-awsmanpol-updates"></a>

檢視自此服務開始追蹤這些變更以來， License Manager AWS 受管政策更新的詳細資訊。


| 變更 | 描述 | Date | 
| --- | --- | --- | 
| [AWSLicenseManagerUserSubscriptionsServiceRolePolicy](#security-iam-AWSLicenseManagerUserSubscriptionsServiceRolePolicy) – 更新現有政策 | License Manager 已將下列產品代碼新增至 License Manager 可以為其建立標籤和終止執行個體的執行個體上的產品代碼清單：5uypd9kpy863kwykrwn4bcolv。 | 2026 年 4 月 13 日 | 
| [AWSLicenseManagerServiceRolePolicy](#security-iam-AWSLicenseManagerServiceRolePolicy) – 更新現有政策 | License Manager 新增了許可，可透過執行 AWS 受管 SSM 文件來探索執行個體上的授權資產。 | 2025 年 11 月 19 日 | 
| [AWSLicenseManagerUserSubscriptionsServiceRolePolicy](#security-iam-AWSLicenseManagerUserSubscriptionsServiceRolePolicy) – 更新現有政策 | License Manager 新增了下列許可來管理授權和 Active Directory 資料：從 Route 53 取得路由資訊、從 Amazon EC2 取得聯網資訊和安全群組規則，以及從 Secrets Manager 取得秘密。 | 2024 年 11 月 7 日 | 
| [AWSLicenseManagerLinuxSubscriptionsServiceRolePolicy](#security-iam-AWSLicenseManagerLinuxSubscriptionsServiceRolePolicy) – 更新現有政策 | License Manager 新增了儲存和擷取秘密的許可 AWS Secrets Manager，以及使用 AWS KMS 金鑰解密自有授權 (BYOL) 訂閱的存取權杖秘密。 | 2024 年 5 月 22 日 | 
| [AWSLicenseManagerLinuxSubscriptionsServiceRolePolicy](#security-iam-AWSLicenseManagerLinuxSubscriptionsServiceRolePolicy) – 新政策 | License Manager 新增了建立名為 之服務連結角色的許可AWSServiceRoleForAWSLicenseManagerLinuxSubscriptionsService。此角色提供 License Manager 列出 AWS Organizations 和 Amazon EC2 資源的許可。 | 2022 年 12 月 21 日 | 
| [AWSLicenseManagerUserSubscriptionsServiceRolePolicy](#security-iam-AWSLicenseManagerUserSubscriptionsServiceRolePolicy) – 更新現有政策 | License Manager 新增了 ec2:DescribeVpcPeeringConnections許可。 | 2022 年 11 月 28 日 | 
| [AWSLicenseManagerUserSubscriptionsServiceRolePolicy](#security-iam-AWSLicenseManagerMasterAccountRolePolicy) – 新政策 | License Manager 新增了建立名為 之服務連結角色的許可AWSLicenseManagerUserSubscriptionsServiceRolePolicy。此角色提供 License Manager 許可，以列出 AWS Directory Service 資源、利用 Systems Manager 功能，以及管理為使用者型訂閱建立的 Amazon EC2 資源。 | 2022 年 7 月 18 日 | 
| [AWSLicenseManagerMasterAccountRolePolicy](#security-iam-AWSLicenseManagerMasterAccountRolePolicy) – 更新現有政策 | License Manager 新增由 管理之資源群組的 resource-groups:PutGroupPolicy 許可 AWS Resource Access Manager。 | 2022 年 6 月 27 日 | 
| [AWSLicenseManagerMasterAccountRolePolicy](#security-iam-AWSLicenseManagerMasterAccountRolePolicy) – 更新現有政策 | License Manager 將 的 AWS 受管政策AWSLicenseManagerMasterAccountRolePolicy條件金鑰從使用 ram:ResourceTag 變更為 aws:ResourceTag。 [AWS Resource Access Manager](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsresourceaccessmanager.html) | 2021 年 11 月 16 日 | 
| [AWSLicenseManagerConsumptionPolicy](#security-iam-AWSLicenseManagerConsumptionPolicy) – 新政策 | License Manager 新增了新的政策，授予使用授權的許可。 | 2021 年 8 月 11 日 | 
| [AWSLicenseManagerServiceRolePolicy](#security-iam-AWSLicenseManagerServiceRolePolicy) – 更新現有政策 | License Manager 新增了列出委派管理員的許可，以及建立名為 之服務連結角色的許可AWSServiceRoleForAWSLicenseManagerMemberAccountRole。 | 2021 年 6 月 16 日 | 
| [AWSLicenseManagerServiceRolePolicy](#security-iam-AWSLicenseManagerServiceRolePolicy) – 更新現有政策 | License Manager 新增了列出所有 License Manager 資源的許可，例如授權組態、授權和授權。 | 2021 年 6 月 15 日 | 
| [AWSLicenseManagerServiceRolePolicy](#security-iam-AWSLicenseManagerServiceRolePolicy) – 更新現有政策 | License Manager 新增了建立名為 之服務連結角色的許可AWSServiceRoleForMarketplaceLicenseManagement。此角色 AWS Marketplace 提供在 License Manager 中建立和管理授權的許可。如需詳細資訊，請參閱 AWS Marketplace 買家指南中的 [AWS Marketplace的服務連結角色](https://docs.aws.amazon.com/marketplace/latest/buyerguide/buyer-using-service-linked-roles.html)。 | 2021 年 3 月 9 日 | 
| License Manager 已開始追蹤變更 | License Manager 開始追蹤其 AWS 受管政策的變更。 | 2021 年 3 月 9 日 |