Konfigurieren von Rollen und Berechtigungen für Change Manager

Öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im Navigationsbereich Policies und dann Create Policy.

Wählen Sie auf der Seite „Richtlinie erstellen JSON“ die Registerkarte aus und ersetzen Sie den Standardinhalt durch den folgenden Inhalt, den Sie nach Ihren Wünschen ändern Change Manager Operationen in den folgenden Schritten.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::delegated-admin-account-id:role/AWS-SystemsManager-job-functionAdministrationRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocument",
                "ssm:GetDocument",
                "ssm:StartChangeRequestExecution"
            ],
            "Resource": [
                "arn:aws:ssm:region:account-id:automation-definition/template-name:$DEFAULT",
                "arn:aws:ssm:region::document/template-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:ListOpsItemEvents",
                "ssm:GetOpsItem",
                "ssm:ListDocuments",
                "ssm:DescribeOpsItems"
            ],
            "Resource": "*"
        }
    ]
}

Aktualisieren Sie den Resource Wert für die iam:PassRole Aktion, um alle für Ihre Organisation definierten Auftragsfunktionen einzuschließen, denen Sie Berechtigungen zum Initiieren von Runbook-Workflows erteilen möchten. ARNs

Ersetzen Sie den region, account-id, template-name, delegated-admin-account-id, und job-function Platzhalter mit Werten für Ihre Change Manager Operationen.

Ändern Sie für die zweite Resource-Anweisung die Liste so, dass sie alle Änderungsvorlagen enthält, für die Sie Berechtigungen erteilen möchten. Alternativ können Sie "Resource": "*" angeben, um Berechtigungen für alle Änderungsvorlagen in Ihrer Organisation zu erteilen.

Wählen Sie Weiter: Markierungen.

(Optional) Fügen Sie ein oder mehrere Tag-Schlüssel-Wert-Paare hinzu, um den Zugriff für diese Richtlinie zu organisieren, zu verfolgen oder zu steuern.

Wählen Sie Weiter: Prüfen aus.

Geben Sie auf der Seite Review policy (Richtlinie überprüfen) im Feld Name einen Namen ein, wie z. B MyChangeManagerAssumeRole, und geben Sie anschließend eine optionale Beschreibung ein.

Klicken Sie auf Create policy (Richtlinie erstellen) und fahren Sie mit Aufgabe 2: Erstellen einer Übernahmerolle für Change Manager fort.

Öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im Navigationsbereich Roles (Rollen) und dann Create role (Rolle erstellen).

Wählen Sie für Select trusted entity (Vertrauenswürdige Entität auswählen) die folgenden Optionen:

Wählen Sie Weiter.

Suchen Sie auf der Seite Attached permissions policy (Richtlinie für angehängte Berechtigungen) nach der Übernahmerollenrichtlinie, die Sie in Aufgabe 1: Erstellen einer Übernahmerollenrichtlinie für Change Manager erstellt haben, wie beispielsweise MyChangeManagerAssumeRole.

Aktivieren Sie das Kontrollkästchen neben dem Namen der Übernahmerollenrichtlinie und wählen Sie anschließend Next: Tags (Weiter: Tags) aus.

Geben Sie unter Role name (Rollenname) einen Namen für Ihr neues Instance-Profil ein, wie z. B. MyChangeManagerAssumeRole.

(Optional) Aktualisieren Sie für Description (Beschreibung) die Beschreibung für diese Instance-Rolle.

(Optional) Fügen Sie ein oder mehrere Tag-Schlüssel-Wert-Paare hinzu, um den Zugriff für diese Rolle zu organisieren, zu verfolgen oder zu steuern.

Wählen Sie Weiter: Prüfen aus.

(Optional) Fügen Sie für Tags ein oder mehrere Tag-Schlüssel-Wert-Paare hinzu, um den Zugriff für diese Rolle zu organisieren, nachzuverfolgen oder zu steuern, und wählen Sie dann Create role (Rolle erstellen) aus. Das System leitet Sie zur Seite Roles (Rollen) zurück.

Wählen Sie Create role (Rolle erstellen) aus. Das System leitet Sie zur Seite Roles (Rollen) zurück.

Wählen Sie auf der Seite Roles (Rollen) die gerade erstellte Rolle aus, um die Seite Summary (Übersicht) zu öffnen.

Öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im Navigationsbereich Rollen aus.

Suchen nach Change Manager Nehmen Sie die von Ihnen erstellte Rolle an, z. B.MyChangeManagerAssumeRole, und wählen Sie ihren Namen aus.

Wählen Sie auf der Seite Summary (Zusammenfassung) für die gerade erstellte Rolle die Registerkarte Permissions (Berechtigungen) aus.

Wählen Sie Add permissions, Create inline policy (Berechtigungen hinzufügen, eingebundene Richtlinie erstellen).

Wählen Sie auf der Seite Create policy die Registerkarte Visual editor aus.

Wählen Sie Service und dann IAM.

Geben Sie im Textfeld Aktionen filtern die PassRoleOption einPassRole, und wählen Sie sie aus.

Erweitern Sie Resources (Ressourcen). Vergewissern Sie sich, dass Spezifisch ausgewählt ist, und wählen Sie dann Hinzufügen ausARN.

Geben Sie im Feld Spezifizieren ARN für Rolle die ARN Rolle oder IAM IAM Servicerolle ein, an die Sie Übernahmerollenberechtigungen übergeben möchten. Das System füllt die Felder Account (Konto) und Role name with path (Rollenname mit Pfad) automatisch aus.

Wählen Sie Hinzufügen aus.

Wählen Sie Richtlinie prüfen.

Geben Sie für Name einen Namen ein, um diese Richtlinie zu identifizieren und wählen Sie dann Create poliy (Richtlinie erstellen) aus.

Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im Navigationsbereich Rollen aus.

Wählen Sie in der Liste den Namen der Übernahmerolle aus, die Sie aktualisieren möchten, z. B MyChangeManagerAssumeRole.

Wählen Sie die Registerkarte Berechtigungen.

Wählen Sie Add permissions, Create inline policy (Berechtigungen hinzufügen, eingebundene Richtlinie erstellen).

Wählen Sie die JSONRegisterkarte.

Geben Sie ein JSON Richtliniendokument für die ein AWS-Services , die Sie aufrufen möchten. Nachfolgend sind zwei Beispiele JSON für Richtliniendokumente aufgeführt.

Amazon-S3-PutObject und GetObject-Beispiel

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}
        

Amazon EC2 CreateSnapshot und DescribeSnapShots Beispiel

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ec2:CreateSnapshot",
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":"ec2:DescribeSnapshots",
         "Resource":"*"
      }
   ]
}

Einzelheiten zur Formulierung der IAM Richtlinie finden Sie in der Referenz zu den IAM JSON Richtlinien im IAMBenutzerhandbuch.

Wählen Sie, wenn Sie fertig sind, Review policy (Richtlinie überprüfen) aus. Die Richtlinienvalidierung meldet mögliche Syntaxfehler.

Für Name geben Sie einen Namen zur Identifizierung der Richtlinie ein, die Sie erstellen. Überprüfen Sie unter Summary die Richtlinienzusammenfassung, um die Berechtigungen einzusehen, die von Ihrer Richtlinie gewährt werden. Wählen Sie dann Create policy aus, um Ihre Eingaben zu speichern.

Nachdem Sie eine Inline-Richtlinie erstellt haben, wird sie automatisch in Ihre Rolle eingebettet.