Contrôlez l'accès aux fenêtres de maintenance à l'aide du AWS CLI

Copiez et collez la politique d'approbation suivante dans un fichier texte. Enregistrez ce fichier sous le nom et l'extension de fichier suivants : mw-role-trust-policy.json

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Copiez et collez la JSON politique suivante dans un autre fichier texte. Dans le répertoire où vous avez créé le premier fichier, enregistrez ce fichier sous le nom et l'extension de fichier suivants :mw-role-custom-policy.json.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand",
                "ssm:CancelCommand",
                "ssm:ListCommands",
                "ssm:ListCommandInvocations",
                "ssm:GetCommandInvocation",
                "ssm:GetAutomationExecution",
                "ssm:StartAutomationExecution",
                "ssm:ListTagsForResource",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "states:DescribeExecution",
                "states:StartExecution"
            ],
            "Resource": [
                "arn:aws:states:*:*:execution:*:*",
                "arn:aws:states:*:*:stateMachine:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "resource-groups:ListGroups",
                "resource-groups:ListGroupResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ssm.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Modifiez le contenu de selon mw-role-custom-policy.json les besoins pour les tâches de maintenance que vous exécutez dans votre compte. Les modifications que vous apportez sont spécifiques à vos opérations planifiées.

Par exemple :

Enregistrez à nouveau le fichier après avoir apporté les modifications nécessaires.

Ouvrez le AWS CLI et exécutez la commande suivante dans le répertoire où vous avez placé mw-role-custom-policy.json etmw-role-trust-policy.json. La commande crée un rôle de service de fenêtre de maintenance appelé my-maintenance-window-role et y associe la politique de confiance.

Le système renvoie des informations similaires à ce qui suit :

{
    "Role": {
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Action": "sts:AssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "ssm.amazonaws.com"
                    }
                }
            ]
        },
        "RoleId": "AROAIIZKPBKS2LEXAMPLE",
        "CreateDate": "2024-08-19T03:40:17.373Z",
        "RoleName": "my-maintenance-window-role",
        "Path": "/",
        "Arn": "arn:aws:iam::123456789012:role/my-maintenance-window-role"
    }
}

Exécutez la commande suivante pour associer la politique gérée par le client au rôle. Remplacez le account-id espace réservé avec votre propre identifiant Compte AWS

Exécutez la commande suivante pour vérifier que votre rôle a été créé et que la politique de confiance a été attachée.

aws iam get-role --role-name my-maintenance-window-role

La commande renvoie des informations semblables à ce qui suit :

{
    "Role": {
        "Path": "/",
        "RoleName": "my-maintenance-window-role",
        "RoleId": "AROA123456789EXAMPLE",
        "Arn": "arn:aws:iam::123456789012:role/my-maintenance-window-role",
        "CreateDate": "2024-08-19T14:13:32+00:00",
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "ssm.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole"
                }
            ]
        },
        "MaxSessionDuration": 3600,
        "RoleLastUsed": {
            "LastUsedDate": "2024-08-19T14:30:44+00:00",
            "Region": "us-east-2"
        }
    }
}

Exécutez la commande suivante pour vérifier que la politique gérée par le client est attachée au rôle.

aws iam list-attached-role-policies --role-name my-maintenance-window-role

La commande renvoie des informations semblables à ce qui suit :

{
    "AttachedPolicies": [
        {
            "PolicyName": "mw-role-custom-policy",
            "PolicyArn": "arn:aws:iam::123456789012:policy/mw-role-custom-policy"
        }
    ]
}

Copiez et collez la politique suivante AWS Identity and Access Management (IAM) dans un éditeur de texte et enregistrez-la sous le nom et l'extension de fichier suivants :mw-passrole-policy.json.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/my-maintenance-window-role"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/"
        }
    ]
}

Remplacez my-maintenance-window-role avec le nom du rôle de fenêtre de maintenance personnalisé que vous avez créé précédemment.

Remplacez account-id avec l'identifiant de votre Compte AWS. L'ajout de cette autorisation pour la ressource arn:aws:iam::account-id:role/ permet aux utilisateurs du groupe d'afficher et de choisir parmi les rôles clients dans la console lorsqu'ils créent une tâche de fenêtre de maintenance. L'ajout de cette autorisation pour arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/ permet aux utilisateurs du groupe de choisir le rôle lié au service Systems Manager dans la console lorsqu'ils créent une tâche de fenêtre de maintenance.

Ouvrez le AWS CLI.

Selon que vous attribuez l'autorisation à une IAM entité (utilisateur ou groupe), exécutez l'une des commandes suivantes.

Exécutez la commande suivante pour vérifier que la politique a bien été attribuée au groupe.

Copiez et collez la IAM politique suivante dans un éditeur de texte et enregistrez-la sous le nom et l'extension de fichier suivants :deny-mw-tasks-policy.json.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:RegisterTaskWithMaintenanceWindow",
            "Resource": "*"
        }
    ]
}

Ouvrez le AWS CLI.

Selon que vous attribuez l'autorisation à une IAM entité (utilisateur ou groupe), exécutez l'une des commandes suivantes.

Exécutez la commande suivante pour vérifier que la politique a bien été attribuée au groupe.