Einrichtung Change Manager für eine Organisation (Verwaltungskonto)

Um eine Organisation einzurichten für Change Manager im Verwaltungskonto der Organizations

1. Öffnen Sie die AWS Systems Manager Konsole unter https://console.aws.amazon.com/systems-manager/.

2. Wählen Sie im Navigationsbereich Quick Setup.

3. Auf dem Change ManagerWählen Sie auf der Karte Erstellen aus.

4. Geben Sie für das delegierte Administratorkonto die ID des Kontos ein, das AWS-Konto Sie für die Verwaltung von Änderungsvorlagen, Änderungsanforderungen und Runbook-Workflows verwenden möchten Change Manager.

   Wenn Sie zuvor ein delegiertes Administratorkonto für Systems Manager angegeben haben, wird seine ID bereits in diesem Feld gemeldet.

   Wichtig

   Das delegierte Administratorkonto muss das einzige Mitglied der Organisationseinheit (OU) sein, der es in Organizations zugewiesen ist.

   Wenn das delegierte Administratorkonto, das Sie registrieren, später von dieser Rolle abgemeldet wird, entfernt das System seine Berechtigungen für die gleichzeitige Verwaltung von Systems Manager-Vorgängen. Denken Sie daran, dass Sie dazu zurückkehren müssen Quick Setup, weisen Sie ein anderes delegiertes Administratorkonto zu und geben Sie alle Jobfunktionen und Berechtigungen erneut an.

   Wenn Sie verwenden Change Manager Wir empfehlen unternehmensweit, Änderungen immer vom delegierten Administratorkonto aus vorzunehmen. Obwohl Sie Änderungen von anderen Konten in der Organisation vornehmen, werden diese Änderungen nicht im delegierten Administratorkonto gemeldet oder können nicht angezeigt werden.

5. Im Bereich Berechtigungen zum Anfordern und Vornehmen von Änderungen gehen Sie wie folgt vor.

   Anmerkung

   Jede von Ihnen erstellte Bereitstellungskonfiguration stellt die Berechtigungsrichtlinie für nur eine Auftragsfunktion bereit. Sie können zurückkehren zu Quick Setup später, um weitere Jobfunktionen zu erstellen, wenn Sie Änderungsvorlagen erstellt haben, die Sie in Ihren Vorgängen verwenden können.

   So erstellen Sie eine Administratorrolle - Für eine Administratorauftragsfunktion, die IAM-Berechtigungen für alle AWS -Aktionen hat, gehen Sie wie folgt vor.

   Wichtig

   Das Erteilen von vollständigen Administratorberechtigungen sollte sparsam und nur dann erfolgen, wenn für die Rollen der vollständige Zugriff auf Systems Manager erforderlich ist. Wichtige Informationen zu Sicherheitsüberlegungen für den Zugriff auf Systems Manager finden Sie unter Identitäts- und Zugriffsmanagement für AWS Systems Manager und Bewährte Sicherheitsmethoden für Systems Manager.

   1. Für Auftragsfunktion geben Sie einen Namen zur Identifizierung dieser Rolle und ihrer Berechtigungen ein, z. B. My AWS Admin.

   2. Für die Option Rolle und Berechtigungen wählen Sie Administratorberechtigungen.

   So erstellen Sie andere Auftragsfunktionen - Gehen Sie wie folgt vor, um eine nicht-administrative Rolle zu erstellen:

   1. Geben Sie für Auftragsfunktion einen Namen ein, um diese Rolle zu identifizieren und ihre Berechtigungen vorzuschlagen. Der von Ihnen gewählte Name sollte den Bereich der Runbooks repräsentieren, für die Sie Berechtigungen erteilen werden, z. B. DBAdmin oder S3Admin.

   2. Für die Option Rolle und Berechtigungen wählen Sie Benutzerdefinierte Berechtigungen.

   3. Geben Sie im Editor Berechtigungsrichtlinie die IAM-Berechtigungen im JSON-Format ein, die dieser Auftragsfunktion gewährt werden sollen.

   Tipp

   Es wird empfohlen, dass Sie den IAM-Richtlinien-Editor verwenden, um Ihre Richtlinie zu erstellen und dann den Richtlinien-JSON-Code in das Feld Berechtigungsrichtlinie kopieren.

   Beispielrichtlinie: DynamoDB-Datenbankverwaltung

   Sie könnten zum Beispiel mit Richtlinieninhalten beginnen, die Berechtigungen für die Arbeit mit den Systems Manager-Dokumenten (SSM-Dokumenten) vorsehen, auf die die Auftragsfunktion Zugriff benötigt. Hier ist ein Beispiel für einen Richtlinieninhalt, der Zugriff auf alle AWS verwalteten Automation-Runbooks gewährt, die sich auf DynamoDB-Datenbanken beziehen, sowie auf zwei Änderungsvorlagen AWS-Konto 123456789012, die im Beispiel in der Region USA Ost (Ohio) erstellt wurden (). us-east-2

   Die Richtlinie umfasst auch die Genehmigung für StartChangeRequestExecutionVorgang, der für die Erstellung einer Änderungsanforderung in erforderlich ist Change Calendar.

   Anmerkung

   Dieses Beispiel ist nicht umfassend. Für die Arbeit mit anderen AWS Ressourcen wie Datenbanken und Knoten sind möglicherweise zusätzliche Berechtigungen erforderlich.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:CreateDocument",
                   "ssm:DescribeDocument",
                   "ssm:DescribeDocumentParameters",
                   "ssm:DescribeDocumentPermission",
                   "ssm:GetDocument",
                   "ssm:ListDocumentVersions",
                   "ssm:ModifyDocumentPermission",
                   "ssm:UpdateDocument",
                   "ssm:UpdateDocumentDefaultVersion"
               ],
               "Resource": [
                   "arn:aws:ssm:region:*:document/AWS-CreateDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-AWS-DeleteDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-DeleteDynamoDbTableBackups",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-DeleteDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnableEncryptionOnDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnablePITRForDynamoDbTable",
                   "arn:aws:ssm:region:123456789012:document/MyFirstDBChangeTemplate",
                   "arn:aws:ssm:region:123456789012:document/MySecondDBChangeTemplate"
               ]
           },
           {
               "Effect": "Allow",
               "Action": "ssm:ListDocuments",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "ssm:StartChangeRequestExecution",
               "Resource": "arn:aws:ssm:region:123456789012:automation-definition/*:*"
           }
       ]
   }

   Weitere Informationen zu IAM-Richtlinien finden Sie unter Zugriffsverwaltung für AWS -Ressourcen und Erstellen von IAM-Richtlinien im IAM-Benutzerhandbuch

6. Im Bereich Targets wählen Sie aus, ob Sie der gesamten Organisation oder nur einigen Organisationseinheiten Berechtigungen für die Auftragsfunktion gewähren möchten, die Sie erstellen.

   Fahren Sie mit Schritt 9 fort, wenn Sie Ganze Organisation wählen.

   Fahren Sie mit Schritt 8 fort, wenn Sie Benutzerdefiniert wählen.

7. Wählen Sie im OUs Abschnitt Ziel die Kontrollkästchen der Organisationseinheiten aus, mit denen Sie die Option verwenden möchten Change Manager.

8. Wählen Sie Create (Erstellen) aus.