AWSSupport-SetupConfig - AWS Systems Manager Référence du manuel d'automatisation

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWSSupport-SetupConfig

Description

Le AWSSupport-SetupConfig runbook crée un rôle lié à un service AWS Identity and Access Management (IAM), un enregistreur de configuration alimenté par AWS Config et un canal de distribution avec un bucket Amazon Simple Storage Service (Amazon S3) qui AWS Config envoie des instantanés de configuration et des fichiers d'historique de configuration. Si vous spécifiez des valeurs pour les AggregatorAccountRegion paramètres AggregatorAccountId et, le runbook crée également des autorisations pour l'agrégation de données afin de collecter des données de AWS Config configuration et de conformité provenant de plusieurs et de plusieursComptes AWS. Régions AWS Pour en savoir plus sur l'agrégation des données provenant de plusieurs comptes et régions, consultez la section Agrégation de données multicomptes et multirégions dans le Guide du développeur. AWS Config

Exécutez cette automatisation (console)

Type de document

 Automatisation

Propriétaire

Amazon

Plateformes

LinuxmacOS, Windows

Paramètres

  • AutomationAssumeRole

    Type : String

    Description : (Facultatif) Le nom de ressource Amazon (ARN) du rôle AWS Identity and Access Management (IAM) qui permet à Systems Manager Automation d'effectuer les actions en votre nom. Si aucun rôle n'est spécifié, Systems Manager Automation utilise les autorisations de l'utilisateur qui démarre ce runbook.

  • AggregatorAccountId

    Type : String

    Description : (Facultatif) L'ID de l'Compte AWSendroit où un agrégateur sera ajouté pour agréger les données de AWS Config configuration et de conformité provenant de plusieurs comptes etRégions AWS. Ce compte est également utilisé par l'agrégateur pour autoriser les comptes sources.

  • AggregatorAccountRegion

    Type : String

    Description : (Facultatif) Région dans laquelle un agrégateur sera ajouté pour agréger les données de AWS Config configuration et de conformité provenant de plusieurs comptes et régions.

  • IncludeGlobalResourcesRegion

    Type : String

    Par défaut : us-east-1

    Description : (Obligatoire) Pour éviter d'enregistrer des données de ressources globales dans chaque région, spécifiez une région à partir de laquelle enregistrer les données de ressources globales.

  • Partition

    Type : String

    Par défaut : aws

    Description : (Obligatoire) Partition à partir de laquelle vous souhaitez collecter des données de AWS Config configuration et de conformité.

  • S3 BucketName

    Type : String

    Par défaut : aws-config-delivery-channel

    Description : (Facultatif) Le nom que vous souhaitez appliquer au compartiment Amazon S3 créé pour le canal de livraison. L'identifiant du compte est ajouté à la fin du nom.

Autorisations IAM requises

Le AutomationAssumeRole paramètre nécessite les actions suivantes pour utiliser correctement le runbook.

  • ssm:StartAutomationExecution

  • ssm:GetAutomationExecution

  • config:DescribeConfigurationRecorders

  • config:DescribeDeliveryChannels

  • config:PutAggregationAuthorization

  • config:PutConfigurationRecorder

  • config:PutDeliveryChannel

  • config:StartConfigurationRecorder

  • iam:CreateServiceLinkedRole

  • iam:PassRole

  • s3:CreateBucket

  • s3:ListAllMyBuckets

  • s3:PutBucketPolicy

Étapes de document

  • aws:executeScript- Crée un rôle IAM lié à un service AWS Config s'il n'en existe pas déjà un.

  • aws:executeScript- Crée un enregistreur de configuration s'il n'en existe pas déjà un.

  • aws:executeScript- Crée un compartiment Amazon S3 à utiliser par le canal de distribution s'il n'en existe pas déjà un.

  • aws:executeScript- Crée un canal de distribution à l'aide des ressources créées par le runbook.

  • aws:executeAwsApi- Démarre l'enregistreur de configuration.

  • aws:executeScript- Si vous avez spécifié des valeurs pour les AggregatorAccountRegion paramètres AggregatorAccountId et, les autorisations pour l'agrégation de données multi-comptes et multirégions sont configurées.