Einrichten von Change Manager für eine Organisation (Management-Konto)

So richten Sie eine Organisation für Change Manager im Organizations-Verwaltungskonto ein

1. Öffnen Sie die AWS Systems Manager Konsole unter. https://console.aws.amazon.com/systems-manager/

2. Wählen Sie im Navigationsbereich Quick Setup aus.

3. Wählen Sie auf der Change Manager-Registerkarte Create (Erstellen) aus.

4. Geben Sie für Delegiertes Administratorkonto die ID des AWS-Konto ein, das Sie zum Verwalten von Änderungsvorlagen, Änderungsanforderungen und Runbook-Workflows in Change Manager verwenden möchten.

   Wenn Sie zuvor ein delegiertes Administratorkonto für Systems Manager angegeben haben, wird seine ID bereits in diesem Feld gemeldet.

   Wichtig

   Das delegierte Administratorkonto muss das einzige Mitglied der Organisationseinheit (OU) sein, der es in Organizations zugewiesen ist.

   Wenn das delegierte Administratorkonto, das Sie registrieren, später von dieser Rolle abgemeldet wird, entfernt das System seine Berechtigungen für die gleichzeitige Verwaltung von Systems Manager-Vorgängen. Denken Sie daran, dass es notwendig sein wird, dass Sie zum Quick Setup zurückkehren, ein anderes delegiertes Administratorkonto festlegen, und alle Auftragsfunktionen und -Berechtigungen erneut angeben.

   Wenn Sie den Change Manager in einer Organisation verwenden, empfehlen wir, Änderungen immer über das delegierte Administratorkonto vorzunehmen. Obwohl Sie Änderungen von anderen Konten in der Organisation vornehmen, werden diese Änderungen nicht im delegierten Administratorkonto gemeldet oder können nicht angezeigt werden.

5. Im Bereich Berechtigungen zum Anfordern und Vornehmen von Änderungen gehen Sie wie folgt vor.

   Anmerkung

   Jede von Ihnen erstellte Bereitstellungskonfiguration stellt die Berechtigungsrichtlinie für nur eine Auftragsfunktion bereit. Sie können zum Quick Setup zurückkehren, um weitere Auftragsfunktionen zu erstellen, wenn Sie Änderungsvorlagen zur Verwendung in Ihren Vorgängen erstellt haben.

   Um eine Administratorrolle zu erstellen — Gehen Sie für eine Administrator-Jobfunktion, die über IAM Berechtigungen für alle AWS Aktionen verfügt, wie folgt vor.

   Wichtig

   Das Erteilen von vollständigen Administratorberechtigungen sollte sparsam und nur dann erfolgen, wenn für die Rollen der vollständige Zugriff auf Systems Manager erforderlich ist. Wichtige Informationen zu Sicherheitsüberlegungen für den Zugriff auf Systems Manager finden Sie unter Identity and Access Management für AWS Systems Manager und Bewährte Sicherheitsmethoden für Systems Manager.

   1. Für Auftragsfunktion geben Sie einen Namen zur Identifizierung dieser Rolle und ihrer Berechtigungen ein, z. B. My AWS Admin.

   2. Für die Option Rolle und Berechtigungen wählen Sie Administratorberechtigungen.

   So erstellen Sie andere Auftragsfunktionen - Gehen Sie wie folgt vor, um eine nicht-administrative Rolle zu erstellen:

   1. Geben Sie für Auftragsfunktion einen Namen ein, um diese Rolle zu identifizieren und ihre Berechtigungen vorzuschlagen. Der von Ihnen gewählte Name sollte den Bereich der Runbooks repräsentieren, für die Sie Berechtigungen erteilen werden, z. B. DBAdmin oder S3Admin.

   2. Für die Option Rolle und Berechtigungen wählen Sie Benutzerdefinierte Berechtigungen.

   3. Geben Sie im Editor für Berechtigungsrichtlinien die IAM Berechtigungen im JSON Format ein, die dieser Jobfunktion gewährt werden sollen.

   Tipp

   Wir empfehlen, dass Sie den IAM Richtlinien-Editor verwenden, um Ihre Richtlinie zu erstellen und die Richtlinie dann JSON in das Feld Permissions Policy einzufügen.

   Beispielrichtlinie: DynamoDB-Datenbankverwaltung

   Sie könnten beispielsweise mit Richtlinieninhalten beginnen, die Berechtigungen für die Arbeit mit den Systems Manager Manager-Dokumenten (SSMDokumenten) gewähren, auf die die Jobfunktion Zugriff benötigt. Hier ist ein Beispiel für einen Richtlinieninhalt, der Zugriff auf alle AWS verwalteten Automation-Runbooks gewährt, die sich auf DynamoDB-Datenbanken beziehen, sowie auf zwei Änderungsvorlagen AWS-Konto 123456789012, die im Beispiel in der Region USA Ost (Ohio) erstellt wurden (). us-east-2

   Die Richtlinie enthält auch die Berechtigung für die StartChangeRequestExecution Operation, die für die Erstellung eines Änderungsantrags in Change Calendar erforderlich ist.

   Anmerkung

   Dieses Beispiel ist nicht umfassend. Für die Arbeit mit anderen AWS Ressourcen wie Datenbanken und Knoten sind möglicherweise zusätzliche Berechtigungen erforderlich.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:CreateDocument",
                   "ssm:DescribeDocument",
                   "ssm:DescribeDocumentParameters",
                   "ssm:DescribeDocumentPermission",
                   "ssm:GetDocument",
                   "ssm:ListDocumentVersions",
                   "ssm:ModifyDocumentPermission",
                   "ssm:UpdateDocument",
                   "ssm:UpdateDocumentDefaultVersion"
               ],
               "Resource": [
                   "arn:aws:ssm:region:*:document/AWS-CreateDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-AWS-DeleteDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-DeleteDynamoDbTableBackups",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-DeleteDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnableEncryptionOnDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnablePITRForDynamoDbTable",
                   "arn:aws:ssm:region:123456789012:document/MyFirstDBChangeTemplate",
                   "arn:aws:ssm:region:123456789012:document/MySecondDBChangeTemplate"
               ]
           },
           {
               "Effect": "Allow",
               "Action": "ssm:ListDocuments",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "ssm:StartChangeRequestExecution",
               "Resource": "arn:aws:ssm:region:123456789012:automation-definition/*:*"
           }
       ]
   }

   Weitere Informationen zu IAM Richtlinien finden Sie unter Zugriffsverwaltung für AWS Ressourcen und Erstellen von IAM Richtlinien im IAMBenutzerhandbuch.

6. Im Bereich Targets wählen Sie aus, ob Sie der gesamten Organisation oder nur einigen Organisationseinheiten Berechtigungen für die Auftragsfunktion gewähren möchten, die Sie erstellen.

   Fahren Sie mit Schritt 9 fort, wenn Sie Ganze Organisation wählen.

   Fahren Sie mit Schritt 8 fort, wenn Sie Benutzerdefiniert wählen.

7. Aktivieren Sie im OUs Bereich Ziel die Kontrollkästchen der Organisationseinheiten, mit denen Sie die Option verwenden möchtenChange Manager.

8. Wählen Sie Create (Erstellen) aus.