Control del acceso a los periodos de mantenimiento mediante la AWS CLI

Copie y pegue la siguiente política de confianza en un archivo de texto. Guarde este archivo con el siguiente nombre y extensión de archivo: mw-role-trust-policy.json.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Copie y pegue la siguiente política de JSON en un archivo de texto diferente. En el mismo directorio en el que creó el primer archivo, guárdelo con el siguiente nombre y extensión de archivo: mw-role-custom-policy.json.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand",
                "ssm:CancelCommand",
                "ssm:ListCommands",
                "ssm:ListCommandInvocations",
                "ssm:GetCommandInvocation",
                "ssm:GetAutomationExecution",
                "ssm:StartAutomationExecution",
                "ssm:ListTagsForResource",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "states:DescribeExecution",
                "states:StartExecution"
            ],
            "Resource": [
                "arn:aws:states:*:*:execution:*:*",
                "arn:aws:states:*:*:stateMachine:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "resource-groups:ListGroups",
                "resource-groups:ListGroupResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ssm.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Modifique el contenido de mw-role-custom-policy.json de acuerdo con las necesidades de las tareas de mantenimiento que ejecute en la cuenta. Los cambios que realice son específicos de las operaciones planificadas.

Por ejemplo:

Guarde el archivo de nuevo después de realizar los cambios necesarios.

Abra la AWS CLI y ejecute el siguiente comando en el directorio en el que guardó mw-role-custom-policy.json y mw-role-trust-policy.json. El comando crea un rol de servicio del periodo de mantenimiento llamado my-maintenance-window-role y le asocia la política de confianza.

El sistema devuelve información similar a la siguiente.

{
    "Role": {
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Action": "sts:AssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "ssm.amazonaws.com"
                    }
                }
            ]
        },
        "RoleId": "AROAIIZKPBKS2LEXAMPLE",
        "CreateDate": "2024-08-19T03:40:17.373Z",
        "RoleName": "my-maintenance-window-role",
        "Path": "/",
        "Arn": "arn:aws:iam::123456789012:role/my-maintenance-window-role"
    }
}

Ejecute el siguiente comando para asociar la política administrada por el cliente al rol. Reemplace el marcador de posición account-id con su propio ID de la Cuenta de AWS

Ejecute el siguiente comando para comprobar que el rol se ha creado y que la política de confianza se ha asociado.

aws iam get-role --role-name my-maintenance-window-role

El comando devuelve información similar a la siguiente:

{
    "Role": {
        "Path": "/",
        "RoleName": "my-maintenance-window-role",
        "RoleId": "AROA123456789EXAMPLE",
        "Arn": "arn:aws:iam::123456789012:role/my-maintenance-window-role",
        "CreateDate": "2024-08-19T14:13:32+00:00",
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "ssm.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole"
                }
            ]
        },
        "MaxSessionDuration": 3600,
        "RoleLastUsed": {
            "LastUsedDate": "2024-08-19T14:30:44+00:00",
            "Region": "us-east-2"
        }
    }
}

Ejecute el siguiente comando para comprobar que la política administrada por el cliente se ha asociado al rol.

aws iam list-attached-role-policies --role-name my-maintenance-window-role

El comando devuelve información similar a la siguiente:

{
    "AttachedPolicies": [
        {
            "PolicyName": "mw-role-custom-policy",
            "PolicyArn": "arn:aws:iam::123456789012:policy/mw-role-custom-policy"
        }
    ]
}

Copie y pegue la siguiente política de AWS Identity and Access Management (IAM) en un editor de texto y guárdela con el nombre y la extensión de archivo siguientes: mw-passrole-policy.json.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/my-maintenance-window-role"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/"
        }
    ]
}

Reemplace my-maintenance-window-role con el nombre del rol de la ventana de mantenimiento personalizada que ha creado antes.

Reemplace account-id por el ID de su Cuenta de AWS. Al agregar este permiso para el recurso arn:aws:iam::account-id:role/ se permite a los usuarios del grupo ver y elegir entre los roles de cliente en la consola cuando crean una tarea del periodo de mantenimiento. La adición de este permiso para arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/ permite a los usuarios del grupo elegir el rol vinculado al servicio de Systems Manager en la consola cuando crean una tarea del periodo de mantenimiento.

Abra la AWS CLI.

En función de si el permiso se está asignando a una entidad de IAM (usuario o grupo), ejecute uno de los siguientes comandos.

Ejecute el siguiente comando para verificar que la política se haya asignado al grupo.

Copie y pegue la siguiente política de IAM en un editor de texto y guárdela con el nombre y la extensión de archivo deny-mw-tasks-policy.json.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:RegisterTaskWithMaintenanceWindow",
            "Resource": "*"
        }
    ]
}

Abra la AWS CLI.

En función de si el permiso se está asignando a una entidad de IAM (usuario o grupo), ejecute uno de los siguientes comandos.

Ejecute el siguiente comando para verificar que la política se haya asignado al grupo.