Configuration de Change Manager pour une organisation (compte de gestion)

Pour configurer une organisation pour Change Manager dans le compte de gestion Organizations

1. Ouvrez la AWS Systems Manager console à l'adresse https://console.aws.amazon.com/systems-manager/.

2. Dans le panneau de navigation, sélectionnez Quick Setup.

3. Sur la carte Change Manager, choisissez Create (Créer).

4. Pour Delegated administrator account (Compte d'administrateur délégué), saisissez l'ID du Compte AWS que vous voulez utiliser pour gérer les modèles de modifications, les demandes de modifications et les flux de travail de runbook dans Change Manager.

   Si vous avez précédemment spécifié un compte d'administrateur délégué pour Systems Manager, son ID figure déjà dans ce champ.

   Important

   Le compte d'administrateur délégué doit être le seul membre de l'unité d'organisation (UO) à laquelle il est affecté dans Organizations.

   Si le compte d'administrateur délégué que vous enregistrez est désinscrit ultérieurement de ce rôle, le système supprime ses autorisations pour gérer les opérations du Systems Manager en même temps. N'oubliez pas que vous devrez revenir à Quick Setup, désigner un compte d'administrateur délégué différent et spécifier à nouveau toutes les fonctions professionnelles et les autorisations.

   Si vous utilisez Change Manager au sein d'une organisation, nous vous recommandons de toujours apporter les modifications à partir du compte d'administrateur délégué. Bien qu'il soit possible d'apporter des modifications à partir d'autres comptes de l'organisation, celles-ci ne seront pas signalées ou affichées à partir du compte d'administrateur délégué.

5. Dans la section Autorisations de demander et d'apporter des modifications, procédez comme suit.

   Note

   Chaque configuration de déploiement que vous créez fournit la politique d'autorisations d'une seule fonction professionnelle. Vous pourrez revenir à Quick Setup ultérieurement pour créer d'autres fonctions professionnelles lorsque vous aurez créé des modèles de modifications à utiliser dans vos opérations.

   Pour créer un rôle administratif : pour une fonction d'administrateur dotée d'IAMautorisations pour toutes les AWS actions, procédez comme suit.

   Important

   L'octroi d'autorisations administratives complètes aux utilisateurs doit être effectué avec parcimonie, et uniquement si leurs rôles nécessitent un accès complet à Systems Manager. Pour obtenir des informations importantes sur les considérations de sécurité relatives à l'accès à Systems Manager, veuillez consulter Gestion des identités et des accès pour AWS Systems Manager et Bonnes pratiques en matière de sécurité pour Systems Manager.

   1. Pour Job function (Fonction professionnelle), saisissez un nom pour identifier ce rôle et ses autorisations, My AWS Admin par exemple.

   2. Pour Role and permissions option (Option de rôle et d'autorisations), sélectionnez Autorisations d'administrateur.

   Pour créer d'autres fonctions professionnelles : pour créer un rôle non administratif, procédez comme suit :

   1. Pour Job function (Fonction professionnelle), saisissez un nom pour identifier ce rôle et suggérer ses autorisations. Le nom que vous sélectionnez doit représenter la portée des runbooks pour lesquels vous fournirez des autorisations, DBAdmin ou S3Admin par exemple.

   2. Pour Role and permissions option (Option de rôle et d'autorisations), sélectionnez Custom persmissions (Autorisations personnalisées).

   3. Dans l'éditeur de politique d'autorisations, entrez les IAM autorisations, au JSON format, à accorder à cette fonction de travail.

   Astuce

   Nous vous recommandons d'utiliser l'éditeur de IAM stratégie pour créer votre politique, puis de la coller JSON dans le champ Politique d'autorisations.

   Exemple de politique : gestion de la base de données DynamoDB

   Par exemple, vous pouvez commencer par un contenu de politique qui fournit des autorisations pour travailler avec les documents Systems Manager (SSMdocuments) auxquels la fonction de travail doit accéder. Voici un exemple de contenu de politique qui donne accès à tous les runbooks d'automatisation AWS gérés liés aux bases de données DynamoDB et à deux modèles de modification créés dans l' Compte AWS 123456789012exemple, dans la région USA Est (Ohio) (). us-east-2

   La politique inclut également l'autorisation pour l'opération StartChangeRequestExecution, qui est obligatoire pour créer une demande de modification dans Change Calendar.

   Note

   Cet exemple n'est pas exhaustif. Des autorisations supplémentaires peuvent être nécessaires pour travailler avec d'autres AWS ressources, telles que des bases de données et des nœuds.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:CreateDocument",
                   "ssm:DescribeDocument",
                   "ssm:DescribeDocumentParameters",
                   "ssm:DescribeDocumentPermission",
                   "ssm:GetDocument",
                   "ssm:ListDocumentVersions",
                   "ssm:ModifyDocumentPermission",
                   "ssm:UpdateDocument",
                   "ssm:UpdateDocumentDefaultVersion"
               ],
               "Resource": [
                   "arn:aws:ssm:region:*:document/AWS-CreateDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-AWS-DeleteDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-DeleteDynamoDbTableBackups",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-DeleteDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnableEncryptionOnDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnablePITRForDynamoDbTable",
                   "arn:aws:ssm:region:123456789012:document/MyFirstDBChangeTemplate",
                   "arn:aws:ssm:region:123456789012:document/MySecondDBChangeTemplate"
               ]
           },
           {
               "Effect": "Allow",
               "Action": "ssm:ListDocuments",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "ssm:StartChangeRequestExecution",
               "Resource": "arn:aws:ssm:region:123456789012:automation-definition/*:*"
           }
       ]
   }

   Pour plus d'informations sur IAM les politiques, voir Gestion de l'accès aux AWS ressources et Création de IAM politiques dans le Guide de IAM l'utilisateur.

6. Dans la section Cibles, choisissez d'octroyer des autorisations pour la fonction professionnelle que vous créez à l'ensemble de votre organisation ou à certaines de vos unités organisationnelles uniquement.

   Si vous sélectionnez Ensemble de l'organisation, passez à l'étape 9.

   Si vous sélectionnez Custom (Personnalisé), passez à l'étape 8.

7. Dans la OUs section Cible, cochez les cases des unités organisationnelles à utiliser avecChange Manager.

8. Sélectionnez Create (Créer).