View a markdown version of this page

Mengelola instans EC2 secara otomatis dengan Konfigurasi Manajemen Host Default - AWS Systems Manager
PrasyaratMengaktifkan pengaturan Konfigurasi Manajemen Host DefaultMenonaktifkan pengaturan Konfigurasi Manajemen Host DefaultContoh kebijakan hak istimewa terkecil untuk Konfigurasi Manajemen Host Default

• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola dasbor Amazon CloudWatch mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengelola instans EC2 secara otomatis dengan Konfigurasi Manajemen Host Default

Setelan Konfigurasi Manajemen Host Default memungkinkan AWS Systems Manager untuk mengelola instans Amazon EC2 secara otomatis sebagai instans ter kelola. Instans terkelola adalah instans EC2 yang dikonfigurasi untuk digunakan dengan Manajer Sistem.

Manfaat mengelola instans Anda dengan System Manager meliputi:

  • Sambungkan ke instans EC2 Anda dengan aman menggunakanSession Manager.

  • Lakukan pemindaian patch otomatis menggunakanPatch Manager.

  • Lihat informasi terperinci tentang instans Anda menggunakan Inventaris Manajer Sistem.

  • Lacak dan kelola instance menggunakanFleet Manager.

  • Tet SSM Agent ap up to date secara otomatis.

Fleet Manager, InventarisPatch Manager,, dan Session Manager merupakan alat di Manajer Sistem.

Menggunakan Konfigurasi Manajemen Host Default, Anda dapat mengelola instans EC2 tanpa harus membuat profil instans AWS Identity and Access Management (IAM) secara manual. Sebagai gantinya, Konfigurasi Manajemen Host Default membuat dan menerapkan peran IAM default untuk memastikan bahwa Manajer Sistem memiliki izin untuk mengelola semua instans di Akun AWS dan di Wilayah AWS mana ia diaktifkan.

Jika izin yang diberikan tidak cukup untuk kasus penggunaan Anda, Anda juga dapat menambahkan kebijakan ke peran IAM default yang dibuat oleh Konfigurasi Manajemen Host Default. Atau, jika Anda tidak memerlukan izin untuk semua kemampuan yang disediakan oleh peran IAM default, Anda dapat membuat peran dan kebijakan kustom Anda sendiri. Setiap perubahan yang dilakukan pada peran IAM yang Anda pilih untuk Konfigurasi Manajemen Host Default berlaku untuk semua instans Amazon EC2 terkelola di Wilayah dan akun.

Untuk informasi selengkapnya tentang kebijakan yang digunakan oleh Konfigurasi Manajemen Host Default, lihatAWS kebijakan yang dikelola: AmazonSSMManagedEC2InstanceDefaultPolicy.

Terapkan akses hak akses paling rendah

Prosedur dalam topik ini dimaksudkan untuk dilakukan hanya oleh administrator. Oleh karena itu, kami sarankan menerapkan akses hak istimewa ter endah untuk mencegah pengguna non-administratif mengonfigurasi atau memodifikasi Konfigurasi Manajemen Host Default. Untuk melihat contoh kebijakan yang membatasi akses ke Konfigurasi Manajemen Host Default, lihat Contoh kebijakan hak istimewa terkecil untuk Konfigurasi Manajemen Host Default nanti dalam topik ini.

penting

Informasi pendaftaran untuk instans yang terdaftar menggunakan Konfigurasi Manajemen Host Default disimpan secara lokal di C:\ProgramData\Amazon direktori var/lib/amazon/ssm or. Menghapus direktori ini atau file mereka akan mencegah instance memperoleh kredenSIAL yang diperlukan untuk terhubung ke Manajer Sistem menggunakan Konfigurasi Manajemen Host Default. Dalam kasus ini, Anda harus menggunakan profil instance IAM untuk memberikan izin yang diperlukan ke instans Anda, atau membuat ulang instans.

Prasyarat

Untuk menggunakan Konfigurasi Manajemen Host Default di Wilayah AWS dan Akun AWS di mana Anda mengaktifkan pengaturan, persyaratan berikut harus dipenuhi.

  • Instance yang akan dikelola harus menggunakan Instance Metadata Service Version 2 (IMDSv2).

    Konfigurasi Manajemen Host Default tidak mendukung Layanan Metadata Instance Versi 1. Untuk informasi tentang transisi ke IMDSv2, lihat Trans isi ke menggunakan Layanan Metadata Instans Versi 2 di Panduan Pengguna Amazon EC2

  • SSM Agentversi 3.2.582.0 atau yang lebih baru harus diinstal pada instance yang akan dikelola.

    Untuk informasi tentang memeriksa versi yang SSM Agent diinstal pada instans Anda, lihatMemeriksa SSM Agent nomor versi.

    Untuk informasi tentang memperbaruiSSM Agent, lihatMemperbarui secara otomatis SSM Agent.

  • Anda, sebagai administrator yang melakukan tugas dalam topik ini, harus memiliki izin untuk operasi GetServiceSetting ResetServiceSetting,, dan UpdateServiceSetting API. Selain itu, Anda harus memiliki izin untuk iam:PassRole izin untuk peran AWSSystemsManagerDefaultEC2InstanceManagementRole IAM. Berikut ini adalah contoh kebijakan yang menyediakan izin ini. Ganti masing-masing example resource placeholder dengan informasi Anda sendiri.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetServiceSetting",
                "ssm:ResetServiceSetting",
                "ssm:UpdateServiceSetting"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:servicesetting/ssm/managed-instance/default-ec2-instance-management-role"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::111122223333:role/service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ssm.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

  • Jika profil instans IAM sudah dilampirkan ke instans EC2 yang akan dikelola menggunakan Manajer Sistem, Anda harus menghapus izin apa pun darinya yang memungkinkan operasi. ssm:UpdateInstanceInformation SSM Agentmencoba menggunakan izin profil instans sebelum menggunakan izin Konfigurasi Manajemen Host Default. Jika Anda mengiz ssm:UpdateInstanceInformation inkan operasi di profil instance IAM Anda sendiri, instance tidak akan menggunakan izin Konfigurasi Manajemen Host Default.

Mengaktifkan pengaturan Konfigurasi Manajemen Host Default

Anda dapat mengaktifkan Konfigurasi Manajemen Host Default dari Fleet Manager konsol, atau dengan menggunakan AWS Command Line Interface atau AWS Tools for Windows PowerShell.

Anda harus mengaktifkan Konfigurasi Manajemen Host Default satu per satu di setiap Wilayah tempat Anda ingin instans Amazon EC2 dikelola oleh pengaturan ini.

Setelah mengaktifkan Konfigurasi Manajemen Host Default, mungkin diperlukan waktu hingga 30 menit bagi instans Anda untuk menggunakan kredentif peran yang Anda pilih pada langkah 5 dalam prosedur berikut.

Untuk mengaktifkan Konfigurasi Manajemen Host Default (konsol)

  1. Buka AWS Systems Manager konsol di https://console.aws.amazon.com/systems-manager/.

  2. Di panel navigasi, pilih Fleet Manager.

  3. Pilih Manajemen akun, Konfigurasikan Konfigurasi Manajemen Host Default.

  4. Aktifkan Konfigurasi Manajemen Host Default.

  5. Pilih peran AWS Identity and Access Management (IAM) yang digunakan untuk mengaktifkan alat Manajer Sistem untuk instans Anda. Sebaiknya gunakan peran default yang disediakan oleh Konfigurasi Manajemen Host Default. Ini berisi kumpulan izin minimum yang diperlukan untuk mengelola instans Amazon EC2 Anda menggunakan Manajer Sistem. Jika Anda lebih suka menggunakan peran khusus, kebijakan kepercayaan peran harus mengizinkan Manajer Sistem sebagai entitas tepercaya.

  6. Pilih Konfigurasi untuk menyelesaikan penyiapan.

Untuk mengaktifkan Konfigurasi Manajemen Host Default (baris perintah)

  1. Buat file JSON di mesin lokal Anda yang berisi kebijakan hubungan kepercayaan berikut.

    JSON
    {
    "Version":"2012-10-17",
    "Statement":[
        {
            "Sid":"",
            "Effect":"Allow",
            "Principal":{
                "Service":"ssm.amazonaws.com"
            },
            "Action":"sts:AssumeRole"
        }
    ]
}

  2. Buka AWS CLI atau Tools untuk Windows PowerShell dan jalankan salah satu perintah berikut, tergantung pada jenis sistem operasi mesin lokal Anda, untuk membuat peran layanan di akun Anda. Ganti masing-masing example resource placeholder dengan informasi Anda sendiri.

    Linux & macOS
    aws iam create-role \
--role-name AWSSystemsManagerDefaultEC2InstanceManagementRole \
--path /service-role/ \
--assume-role-policy-document file://trust-policy.json
    Windows
    aws iam create-role ^
--role-name AWSSystemsManagerDefaultEC2InstanceManagementRole ^
--path /service-role/ ^
--assume-role-policy-document file://trust-policy.json
    PowerShell
    New-IAMRole `
-RoleName "AWSSystemsManagerDefaultEC2InstanceManagementRole" `
-Path "/service-role/" `
-AssumeRolePolicyDocument "file://trust-policy.json"

  3. Jalankan perintah berikut untuk melampirkan kebijakan AmazonSSMManagedEC2InstanceDefaultPolicy terkelola ke peran yang baru dibuat. Ganti masing-masing example resource placeholder dengan informasi Anda sendiri.

    Linux & macOS
    aws iam attach-role-policy \
--policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedEC2InstanceDefaultPolicy \
--role-name AWSSystemsManagerDefaultEC2InstanceManagementRole
    Windows
    aws iam attach-role-policy ^
--policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedEC2InstanceDefaultPolicy ^
--role-name AWSSystemsManagerDefaultEC2InstanceManagementRole
    PowerShell
    Register-IAMRolePolicy `
-PolicyArn "arn:aws:iam::aws:policy/AmazonSSMManagedEC2InstanceDefaultPolicy" `
-RoleName "AWSSystemsManagerDefaultEC2InstanceManagementRole"

  4. Buka AWS CLI atau Tools untuk Windows PowerShell dan jalankan perintah berikut. Ganti masing-masing example resource placeholder dengan informasi Anda sendiri.

    Linux & macOS
    aws ssm update-service-setting \
--setting-id arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role \
--setting-value service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole
    Windows
    aws ssm update-service-setting ^
--setting-id arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role ^
--setting-value service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole
    PowerShell
    Update-SSMServiceSetting `
-SettingId "arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role" `
-SettingValue "service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole"

    Tidak ada output jika perintah berhasil.

  5. Jalankan perintah berikut untuk melihat pengaturan layanan saat ini untuk Konfigurasi Manajemen Host Default di saat ini Akun AWS dan Wilayah AWS.

    Linux & macOS
    aws ssm get-service-setting \
--setting-id arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role
    Windows
    aws ssm get-service-setting ^
--setting-id arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role
    PowerShell
    Get-SSMServiceSetting `
-SettingId "arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role"

    Perintah tersebut mengembalikan informasi seperti berikut.

    {
    "ServiceSetting": {
        "SettingId": "/ssm/managed-instance/default-ec2-instance-management-role",
        "SettingValue": "service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole",
        "LastModifiedDate": "2022-11-28T08:21:03.576000-08:00",
        "LastModifiedUser": "System",
        "ARN": "arn:aws:ssm:us-east-2:-123456789012:servicesetting/ssm/managed-instance/default-ec2-instance-management-role",
        "Status": "Custom"
    }
}

Menonaktifkan pengaturan Konfigurasi Manajemen Host Default

Anda dapat menonaktifkan Konfigurasi Manajemen Host Default dari Fleet Manager konsol, atau dengan menggunakan AWS Command Line Interface atau AWS Tools for Windows PowerShell.

Anda harus mematikan pengaturan Konfigurasi Manajemen Host Default satu per satu di setiap Wilayah di mana Anda tidak lagi ingin instans Amazon EC2 Anda dikelola oleh konfigurasi ini. Menonaktifkannya di satu Wilayah tidak menonaktifkannya di semua Wilayah.

Jika Anda menonaktifkan Konfigurasi Manajemen Host Default, dan Anda belum melampirkan profil instans ke instans Amazon EC2 yang memungkinkan akses ke Manajer Sistem, instans tersebut tidak akan lagi dikelola oleh Manajer Sistem.

Untuk menonaktifkan Konfigurasi Manajemen Host Default (konsol)

  1. Buka AWS Systems Manager konsol di https://console.aws.amazon.com/systems-manager/.

  2. Di panel navigasi, pilih Fleet Manager.

  3. Pilih Manajemen akun, Konfigurasi Manajemen Host Default.

  4. Matikan Aktifkan Konfigurasi Manajemen Host Default.

  5. Pilih Konfigurasi untuk menonaktifkan Konfigurasi Manajemen Host Default.

Untuk menonaktifkan Konfigurasi Manajemen Host Default (baris perintah)

  • Buka AWS CLI atau Tools untuk Windows PowerShell dan jalankan perintah berikut. Ganti masing-masing example resource placeholder dengan informasi Anda sendiri.

    Linux & macOS
    aws ssm reset-service-setting \
--setting-id arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role
    Windows
    aws ssm reset-service-setting ^
--setting-id arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role
    PowerShell
    Reset-SSMServiceSetting `
-SettingId "arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role"

Contoh kebijakan hak istimewa terkecil untuk Konfigurasi Manajemen Host Default

Kebijakan contoh berikut menunjukkan cara mencegah anggota organisasi Anda membuat perubahan pada setelan Konfigurasi Manajemen Host Default di akun Anda.

Kebijakan kontrol layanan untuk AWS Organizations

Kebijakan berikut menunjukkan cara mencegah anggota non-administratif di Anda memperbarui set AWS Organizations elan Konfigurasi Manajemen Host Default Anda. Ganti masing-masing example resource placeholder dengan informasi Anda sendiri.

JSON
{
    "Version":"2012-10-17",
    "Statement": [{
            "Effect": "Deny",
            "Action": [
                "ssm:UpdateServiceSetting",
                "ssm:ResetServiceSetting"
            ],
            "Resource": "arn:aws:ssm:*:*:servicesetting/ssm/managed-instance/default-ec2-instance-management-role",
            "Condition": {
                "StringNotEqualsIgnoreCase": {
                    "aws:PrincipalTag/job-function": [
                        "administrator"
                    ]
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                },
                "StringNotEqualsIgnoreCase": {
                    "aws:PrincipalTag/job-function": [
                        "administrator"
                    ]
                }
            }
        },
        {
            "Effect": "Deny",
            "Resource": "arn:aws:iam::*:role/service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:DeleteRole"
            ],
            "Condition": {
                "StringNotEqualsIgnoreCase": {
                    "aws:PrincipalTag/job-function": [
                        "administrator"
                    ]
                }
            }
        }
    ]
}

Kebijakan untuk kepala sekolah IAM

Kebijakan berikut menunjukkan cara mencegah grup, peran, atau pengguna IAM di dalam Anda memperbarui set AWS Organizations elan Konfigurasi Manajemen Host Default Anda. Ganti masing-masing example resource placeholder dengan informasi Anda sendiri.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ssm:UpdateServiceSetting",
                "ssm:ResetServiceSetting"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:servicesetting/ssm/managed-instance/default-ec2-instance-management-role"
        },
        {
            "Effect": "Deny",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:DeleteRole",
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::111122223333:role/service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole"
        }
    ]
}