Menyiapkan Change Manager untuk organisasi (akun manajemen)

Untuk mengatur organisasi Change Manager di akun manajemen Organizations

1. Buka AWS Systems Manager konsol di https://console.aws.amazon.com/systems-manager/.

2. Di panel navigasi, pilih Quick Setup.

3. Pada Change Managerkartu, pilih Buat.

4. Untuk akun administrator yang didelegasikan, masukkan ID yang ingin Akun AWS Anda gunakan untuk mengelola templat perubahan, permintaan perubahan, dan alur kerja buku runbook. Change Manager

   Jika Anda sebelumnya telah menetapkan akun administrator yang didelegasikan untuk Systems Manager, ID akun tersebut sudah dilaporkan dalam bidang ini.

   penting

   Akun administrator yang didelegasikan harus menjadi satu-satunya anggota unit organisasi (OU) yang ditetapkan di Organizations.

   Jika akun administrator yang didelegasikan yang Anda daftarkan kemudian dibatalkan pendaftarannya dari peran itu, sistem akan menghapus izinnya untuk mengelola operasi Systems Manager secara bersamaan. Ingatlah bahwa Anda perlu kembali keQuick Setup, menunjuk akun administrator yang didelegasikan yang berbeda, dan tentukan semua fungsi dan izin pekerjaan lagi.

   Jika Anda menggunakan Change Manager di seluruh organisasi, sebaiknya selalu membuat perubahan dari akun administrator yang didelegasikan. Meskipun Anda dapat membuat perubahan dari akun lain di organisasi, perubahan tersebut tidak akan dilaporkan atau dapat dilihat dari akun administrator yang didelegasikan.

5. Di bagian Izin untuk meminta dan membuat perubahan, lakukan hal berikut.

   catatan

   Setiap konfigurasi deployment yang Anda buat menyediakan kebijakan izin hanya untuk satu fungsi tugas. Anda dapat kembali ke Quick Setup nanti untuk membuat lebih banyak fungsi pekerjaan ketika Anda telah membuat template perubahan untuk digunakan dalam operasi Anda.

   Untuk membuat peran administratif — Untuk fungsi pekerjaan administrator yang memiliki IAM izin untuk semua AWS tindakan, lakukan hal berikut.

   penting

   Pemberian izin administratif penuh kepada pengguna harus dilakukan secara terbatas, dan hanya jika peran mereka memerlukan akses penuh Systems Manager. Untuk informasi penting tentang pertimbangan keamanan untuk akses Systems Manager, lihat Identity and access management untuk AWS Systems Manager dan Praktik terbaik keamanan untuk Systems Manager.

   1. Untuk Fungsi tugas, masukkan nama untuk mengidentifikasi peran ini dan izinnya, seperti My AWS Admin.

   2. Untuk Opsi peran dan izin, pilih Izin administrator.

   Untuk membuat fungsi tugas lainnya – Untuk membuat peran non-administratif, lakukan hal berikut:

   1. Untuk Fungsi tugas, masukkan nama untuk mengidentifikasi peran ini dan menyarankan izinnya. Nama yang Anda pilih harus mewakili cakupan runbook yang akan Anda berikan izinnya, seperti DBAdmin atau S3Admin.

   2. Untuk Opsi peran dan izin, pilih Izin kustom.

   3. Di editor kebijakan Izin, masukkan IAM izin, dalam JSON format, untuk diberikan ke fungsi pekerjaan ini.

   Tip

   Sebaiknya gunakan editor IAM kebijakan untuk membuat kebijakan, lalu menempelkan kebijakan tersebut JSON ke bidang Kebijakan Izin.

   Contoh kebijakan: manajemen database DynamoDB

   Misalnya, Anda dapat memulai dengan konten kebijakan yang memberikan izin untuk bekerja dengan dokumen Systems Manager (SSMdokumen) yang perlu diakses oleh fungsi pekerjaan. Berikut adalah contoh konten kebijakan yang memberikan akses ke semua runbook Otomasi AWS terkelola yang terkait dengan database DynamoDB dan dua templat perubahan yang telah dibuat dalam sampel Akun AWS 123456789012, di Wilayah AS Timur (Ohio) (). us-east-2

   Kebijakan ini juga mencakup izin untuk StartChangeRequestExecutionoperasi, yang diperlukan untuk membuat permintaan perubahan diChange Calendar.

   catatan

   Contoh ini tidak komprehensif. Izin tambahan mungkin diperlukan untuk bekerja dengan AWS sumber daya lain, seperti database dan node.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:CreateDocument",
                   "ssm:DescribeDocument",
                   "ssm:DescribeDocumentParameters",
                   "ssm:DescribeDocumentPermission",
                   "ssm:GetDocument",
                   "ssm:ListDocumentVersions",
                   "ssm:ModifyDocumentPermission",
                   "ssm:UpdateDocument",
                   "ssm:UpdateDocumentDefaultVersion"
               ],
               "Resource": [
                   "arn:aws:ssm:region:*:document/AWS-CreateDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-AWS-DeleteDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-DeleteDynamoDbTableBackups",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-DeleteDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnableEncryptionOnDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnablePITRForDynamoDbTable",
                   "arn:aws:ssm:region:123456789012:document/MyFirstDBChangeTemplate",
                   "arn:aws:ssm:region:123456789012:document/MySecondDBChangeTemplate"
               ]
           },
           {
               "Effect": "Allow",
               "Action": "ssm:ListDocuments",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "ssm:StartChangeRequestExecution",
               "Resource": "arn:aws:ssm:region:123456789012:automation-definition/*:*"
           }
       ]
   }

   Untuk informasi selengkapnya tentang IAM kebijakan, lihat Manajemen akses untuk AWS sumber daya dan Membuat IAM kebijakan di Panduan IAM Pengguna.

6. Di bagian Target, pilih apakah akan memberikan izin untuk fungsi pekerjaan yang Anda buat ke seluruh organisasi atau hanya beberapa unit organisasi Anda.

   Jika Anda memilih Seluruh organisasi, lanjutkan ke langkah 9.

   Jika Anda memilih Kustom, lanjutkan ke langkah 8.

7. Di OUs bagian Target, pilih kotak centang unit organisasi yang akan digunakanChange Manager.

8. Pilih Buat.