本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# EC2 IAM 執行個體描述檔
<a name="defaults-instance-profile"></a>

執行個體描述檔是適用於 IAM 角色的容器，可讓您在執行個體啟動時將角色資訊傳遞至 EC2 執行個體。

------
#### [ MALZ ]

有兩個 AMS 預設執行個體描述檔 `customer-mc-ec2-instance-profile`和 `customer-mc-ec2-instance-profile-s3`。這些執行個體描述檔提供下表所述的許可。


**政策描述**  
<a name="default-iam-profile-malz-table"></a>

- **`customer-mc-ec2-instance-profile`**
  - `AmazonSSMManagedInstanceCore`：允許 Ec2 執行個體使用 SSM 代理程式。
  - `AMSInstanceProfileLoggingPolicy`：允許 Ec2 執行個體將日誌推送至 S3 和 CloudWatch。
  - `AMSInstanceProfileManagementPolicy`：允許 Ec2 執行個體執行開機動作，例如加入 Active Directory。
  - `AMSInstanceProfileMonitoringPolicy`：允許 Ec2 執行個體向 AMS 監控服務報告問題清單。
  - `AMSInstanceProfilePatchPolicy`：允許 Ec2 執行個體接收修補程式。

- **`customer-mc-ec2-instance-profile-s3`**
  - `AMSInstanceProfileBYOEPSPolicy`：允許 Ec2 執行個體使用 [AMS 帶來您自己的 EPS](https://docs.aws.amazon.com/managedservices/latest/userguide/ams-byoeps.html)。
  - `AMSInstanceProfileLoggingPolicy`：允許 Ec2 執行個體將日誌推送至 S3 和 CloudWatch。
  - `AMSInstanceProfileManagementPolicy`：允許 Ec2 執行個體執行開機動作，例如加入 Active Directory。
  - `AMSInstanceProfileMonitoringPolicy`：允許 Ec2 執行個體向 AMS 監控服務報告問題清單。
  - `AMSInstanceProfilePatchPolicy`：允許 Ec2 執行個體接收修補程式。
  - `AMSInstanceProfileS3WritePolicy`：允許 Ec2 執行個體讀取/寫入客戶 S3 儲存貯體。



------
#### [ SALZ ]

有一個 AMS 預設執行個體描述檔 `customer-mc-ec2-instance-profile`，授予 IAM 執行個體政策 的許可`customer_ec2_instance_profile_policy`。此執行個體描述檔提供下表所述的許可。設定檔會將許可授予執行個體上執行的應用程式，而非登入執行個體的使用者。

政策通常包含多個陳述式，其中每個陳述式會將許可授予一組不同的資源，或在特定條件下授予許可。

CW = CloudWatch。ARN = Amazon Resource Name。\* = 萬用字元 （任何）。


**EC2 預設 IAM 執行個體描述檔許可**  

<table>
<thead>
  <tr><th colspan="4">CW = CloudWatch。ARN = Amazon Resource Name。\* = 萬用字元 （任何）。</th></tr>
  <tr><th>政策聲明</th><th>Effect</th><th>動作</th><th>描述和資源 (ARN)</th></tr>
</thead>
<tbody>
  <tr><td colspan="4">**Amazon Elastic Compute Cloud (Amazon EC2)**</td></tr>
  <tr><td>EC2 訊息動作</td><td>允許</td><td>AcknowledgeMessage、<br />DeleteMessage、<br />FailMessage、<br />GetEndpoint、<br />GetMessages、<br />SendReply</td><td>允許帳戶中的 EC2 Systems Manager 訊息動作。</td></tr>
  <tr><td>Ec2 描述</td><td>允許</td><td>\* （全部）</td><td>允許主控台顯示您帳戶中 EC2 的組態詳細資訊。</td></tr>
  <tr><td>Iam 取得角色 ID</td><td>允許</td><td>GetRole</td><td>允許 EC2 從 `aws:iam::*:role/customer-*`和 取得您的 IAM ID`aws:iam::*:role/customer_*`。</td></tr>
  <tr><td rowspan="2">上傳日誌事件的執行個體</td><td rowspan="2">允許</td><td>建立日誌群組</td><td>允許在以下位置建立日誌： `aws:logs:*:*:log-group:i-*`</td></tr>
  <tr><td>建立日誌串流</td><td>允許將日誌串流至： `aws:logs:*:*:log-group:i-*`</td></tr>
  <tr><td>MMS 的 CW</td><td>允許</td><td>DescribeAlarms、<br />PutMetricAlarm、<br />PutMetricData</td><td>允許 CloudWatch 擷取您帳戶中的警示。<br />允許 CW 建立或更新警示，並將其與指定的指標建立關聯。<br />允許 CW 將指標資料點發佈至您的帳戶。</td></tr>
  <tr><td>Ec2 標籤</td><td>允許</td><td>CreateTags、<br />DescribeTags、</td><td>允許在您帳戶中的指定執行個體上新增、覆寫和描述標籤。</td></tr>
  <tr><td>明確拒絕 CW 日誌</td><td>拒絕</td><td>DescribeLogStreams、<br />FilterLogEvents、<br />GetLogEvents</td><td>不允許列出、篩選或取得日誌串流： `aws:logs:*:*:log-group:/mc/*`</td></tr>
  <tr><td colspan="4">**Amazon EC2 Simple Systems Manager (SSM)**</td></tr>
  <tr><td>SSM 動作</td><td>允許</td><td>DescribeAssociation、<br />GetDocument、<br />ListAssociations、<br />UpdateAssociationStatus、<br />UpdateInstanceInformation</td><td>允許帳戶中的各種 SSM 函數。</td></tr>
  <tr><td>S3 中的 SSM 存取</td><td>允許</td><td>GetObject、<br />PutObject、<br />AbortMultipartUpload、<br />ListMultipartUploadPorts、<br />ListBucketMultipartUploads</td><td>允許 EC2 上的 SSM 在 中取得和更新物件，並中止分段物件上傳至 ，以及列出可用於 分段上傳的連接埠和儲存貯體`aws:s3:::mc-*-internal-*/aws/ssm*`。</td></tr>
  <tr><td colspan="4">**Amazon EC2 Simple Storage Service (S3)**</td></tr>
  <tr><td>在 S3 中取得物件</td><td>允許</td><td>取得<br />清單</td><td>允許 EC2 應用程式擷取和列出您帳戶中 S3 儲存貯體中的物件。</td></tr>
  <tr><td>客戶加密日誌 S3 存取</td><td>允許</td><td>PutObject</td><td>允許 EC2 應用程式更新 中的物件 `aws:s3:::mc-*-logs-*/encrypted/app/*`</td></tr>
  <tr><td>修補程式資料放置物件 S3</td><td>允許</td><td>PutObject</td><td>允許 EC2 應用程式將修補資料上傳至 S3 儲存貯體 `aws:s3:::awsms-a*-patch-data-*`</td></tr>
  <tr><td>將自有日誌上傳至 S3</td><td>允許</td><td>PutObject</td><td>允許 EC2 應用程式將自訂日誌上傳至： `aws:s3:::mc-a*-logs-*/aws/instances/*/${aws:userid}/*`</td></tr>
  <tr><td>明確拒絕 MC 命名空間 S3 日誌</td><td>拒絕</td><td>GetObject\*<br />Put\*</td><td>不允許 EC2 應用程式從下列位置取得或放置任何物件：<br />`aws:s3:::mc-*-logs-*/encrypted/mc*`,<br />`aws:s3:::mc-*-logs-*/mc/*`,<br />`aws:s3:::mc-a*-logs-*-audit/*`</td></tr>
  <tr><td>明確拒絕 S3 刪除</td><td>拒絕</td><td>\* （全部）</td><td>不允許 EC2 應用程式對下列物件採取任何動作：<br />`aws:s3:::mc-a*-logs-*/*`,<br />`aws:s3:::mc-a*-internal-*/*`,</td></tr>
  <tr><td>明確拒絕 S3 CFN 儲存貯體</td><td>拒絕</td><td>刪除\*</td><td>不允許 EC2 應用程式從下列位置刪除任何物件： `aws:s3:::cf-templates-*`</td></tr>
  <tr><td>明確拒絕清單儲存貯體 S3</td><td>拒絕</td><td>ListBucket</td><td>不允許您從下列位置列出任何加密、稽核日誌或預留 (mc) 物件： `aws:s3:::mc-*-logs-*`</td></tr>
  <tr><td colspan="4">**AWS Secrets Manager 在 Amazon EC2 中**</td></tr>
  <tr><td>Trend Cloud One 秘密存取</td><td>允許</td><td>GetSecretValue</td><td>允許 Amazon EC2 存取 Trend Cloud One 遷移的秘密：<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-id*`,<br />`arn:aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-activation-token*`,<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-id*`,<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-guid*`</td></tr>
  <tr><td colspan="4">**AWS Key Management Service 在 Amazon EC2 中**</td></tr>
  <tr><td>Trend Cloud One 解密金鑰</td><td>允許</td><td>解密</td><td>允許 Amazon EC2 以別名名稱 /ams/eps/cloudone-migration 解密 AWS KMS 金鑰<br />`arn:aws:kms:*:*:alias/ams/eps/cloudone-migration`</td></tr>
</tbody>
</table>


------

如果您不熟悉 Amazon IAM 政策，請參閱 [IAM 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)以取得重要資訊。

**注意**  
政策通常包含多個陳述式，其中每個陳述式會將許可授予一組不同的資源，或在特定條件下授予許可。