View a markdown version of this page

Memulai dengan Pengaturan Cepat - AWS Systems Manager
Peran dan izin IAM untuk Pengaturan Cepat orientasiOrientasi manual untuk bekerja dengan Pengaturan Cepat API secara terprogram

• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola dasbor Amazon CloudWatch mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Memulai dengan Pengaturan Cepat

Gunakan informasi dalam topik ini untuk membantu Anda mempersiapkan penggunaanQuick Setup.

Peran dan izin IAM untuk Pengaturan Cepat orientasi

Quick Setupmeluncurkan pengalaman konsol baru dan API baru. Sekarang Anda dapat berinteraksi dengan API ini menggunakan konsol, AWS CLI, CloudFormation, dan SDK. Jika Anda memilih untuk menggunakan pengalaman baru, konfigurasi yang ada akan dibuat ulang menggunakan API baru. Tergantung pada jumlah konfigurasi yang ada di akun Anda, proses ini dapat memakan waktu beberapa menit.

Untuk menggunakan Quick Setup konsol baru, Anda harus memiliki izin untuk tindakan berikut:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm-quicksetup:*",
                "cloudformation:DescribeStackSetOperation",
                "cloudformation:ListStacks",
                "cloudformation:DescribeStacks",
                "cloudformation:DescribeStackResources",
                "cloudformation:ListStackSetOperations",
                "cloudformation:ListStackInstances",
                "cloudformation:DescribeStackSet",
                "cloudformation:ListStackSets",
                "cloudformation:DescribeStackInstance",
                "cloudformation:DescribeOrganizationsAccess",
                "cloudformation:ActivateOrganizationsAccess",
                "cloudformation:GetTemplate",
                "cloudformation:ListStackSetOperationResults",
                "cloudformation:DescribeStackEvents",
                "cloudformation:UntagResource",
                "ec2:DescribeInstances",
                "ssm:DescribeAutomationExecutions",
                "ssm:GetAutomationExecution",
                "ssm:ListAssociations",
                "ssm:DescribeAssociation",
                "ssm:GetDocument",
                "ssm:ListDocuments",
                "ssm:DescribeDocument",
                "ssm:ListResourceDataSync",
                "ssm:DescribePatchBaselines",
                "ssm:GetPatchBaseline",
                "ssm:DescribeMaintenanceWindows",
                "ssm:DescribeMaintenanceWindowTasks",
                "ssm:GetOpsSummary",
                "organizations:DeregisterDelegatedAdministrator",
                "organizations:DescribeAccount",
                "organizations:DescribeOrganization",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListRoots",
                "organizations:ListParents",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:DescribeOrganizationalUnit",
                "organizations:ListAWSServiceAccessForOrganization",
                "s3:GetBucketLocation",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "resource-groups:ListGroups",
                "iam:ListRoles",
                "iam:ListRolePolicies",
                "iam:GetRole",
                "iam:CreatePolicy",
                "organizations:RegisterDelegatedAdministrator",
                "organizations:EnableAWSServiceAccess",
                "cloudformation:TagResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:RollbackStack",
                "cloudformation:CreateStack",
                "cloudformation:UpdateStack",
                "cloudformation:DeleteStack"
            ],
            "Resource": [
                "arn:aws:cloudformation:*:*:stack/StackSet-AWS-QuickSetup-*",
                "arn:aws:cloudformation:*:*:stack/AWS-QuickSetup-*",
                "arn:aws:cloudformation:*:*:type/resource/*",
                "arn:aws:cloudformation:*:*:stack/StackSet-SSMQuickSetup"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:CreateStackSet",
                "cloudformation:UpdateStackSet",
                "cloudformation:DeleteStackSet",
                "cloudformation:DeleteStackInstances",
                "cloudformation:CreateStackInstances",
                "cloudformation:StopStackSetOperation"
            ],
            "Resource": [
                "arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-*",
                "arn:aws:cloudformation:*:*:stackset/SSMQuickSetup",
                "arn:aws:cloudformation:*:*:type/resource/*",
                "arn:aws:cloudformation:*:*:stackset-target/AWS-QuickSetup-*:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
                "iam:GetRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": [
                "arn:aws:iam::*:role/AWS-QuickSetup-*",
                "arn:aws:iam::*:role/service-role/AWS-QuickSetup-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::111122223333:role/AWS-QuickSetup-*",
            "Condition": {
                "StringEquals": {
	            "iam:PassedToService": [
	                "ssm-quicksetup.amazonaws.com",
	                "cloudformation.amazonaws.com"
	            ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DeleteAssociation",
                "ssm:CreateAssociation",
                "ssm:StartAssociationsOnce"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartAutomationExecution",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-EnableExplorer",
                "arn:aws:ssm:*:*:automation-execution/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetOpsSummary",
                "ssm:CreateResourceDataSync",
                "ssm:UpdateResourceDataSync"
            ],
            "Resource": "arn:aws:ssm:*:*:resource-data-sync/AWS-QuickSetup-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": [
                        "accountdiscovery.ssm.amazonaws.com",
                        "ssm.amazonaws.com",
                        "ssm-quicksetup.amazonaws.com",
                        "stacksets.cloudformation.amazonaws.com"
                    ]
                }
            },
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/stacksets.cloudformation.amazonaws.com/AWSServiceRoleForCloudFormationStackSetsOrgAdmin"
        }
    ]
}

Untuk membatasi pengguna ke izin baca-saja, hanya izinkan ssm-quicksetup:List* dan ssm-quicksetup:Get* operasi untuk API. Quick Setup

Selama orientasi, Quick Setup buat peran AWS Identity and Access Management (IAM) berikut atas nama Anda:

  • AWS-QuickSetup-LocalExecutionRole— Mem CloudFormation berikan izin untuk menggunakan template apa pun, tidak termasuk template kebijakan patch, dan membuat sumber daya yang diperlukan.

  • AWS-QuickSetup-LocalAdministrationRole— Memberikan izin untuk AWS CloudFormation mengasumsikanAWS-QuickSetup-LocalExecutionRole.

  • AWS-QuickSetup-PatchPolicy-LocalExecutionRole— Memberikan izin AWS CloudFormation untuk menggunakan templat kebijakan patch, dan membuat sumber daya yang diperlukan.

  • AWS-QuickSetup-PatchPolicy-LocalAdministrationRole— Memberikan izin untuk AWS CloudFormation mengasumsikanAWS-QuickSetup-PatchPolicy-LocalExecutionRole.

Jika Anda melakukan onboarding akun manajemen—akun yang Anda gunakan untuk membuat organisasi AWS Organizations— Quick Setup juga membuat peran berikut atas nama Anda:

  • AWS-QuickSetup-SSM-RoleForEnablingExplorer— Memberikan izin ke runbook AWS-EnableExplorer otomatisasi. AWS-EnableExplorerRunbook mengonfigurasiExplorer, alat di Manajer Sistem untuk menampilkan informasi untuk beberapa Akun AWS dan. Wilayah AWS

  • AWSServiceRoleForAmazonSSMPeran terkait layanan yang memberikan akses ke AWS sumber daya yang dikelola dan digunakan oleh Manajer Sistem.

  • AWSServiceRoleForAmazonSSM_AccountDiscovery— Peran terkait layanan yang memberikan izin kepada Manajer Sistem untuk memanggil untuk menemukan Akun AWS informasi saat Layanan AWS menyinkronkan data. Untuk informasi selengkapnya, lihat Menggunakan peran untuk mengumpulkan Akun AWS informasi untuk OpsCenter and Explorer.

Saat melakukan onboarding akun manajemen, aktifkan Quick Setup akses tepercaya antara AWS Organizations dan CloudFormation untuk menerapkan Quick Setup konfigurasi di seluruh organisasi Anda. Untuk mengaktifkan akses tepercaya, akun manajemen Anda harus memiliki izin administrator. Setelah orientasi, Anda tidak lagi memerlukan izin administrator. Untuk informasi selengkapnya, lihat Mengaktifkan akses tepercaya dengan Organisasi.

Untuk informasi tentang jenis AWS Organizations akun, lihat AWS Organizations terminologi dan konsep di Panduan AWS Organizations Pengguna.

catatan

Quick Setupdigunakan CloudFormation StackSets untuk menyebarkan konfigurasi Anda di seluruh Akun AWS dan Wilayah. Jika jumlah akun target dikalikan dengan jumlah Wilayah melebihi 10.000, konfigurasi gagal diterapkan. Sebaiknya tinjau kasus penggunaan Anda dan buat konfigurasi yang menggunakan lebih sedikit target untuk mengakomodasi pertumbuhan organisasi Anda. Instans stack tidak diterapkan ke akun manajemen organisasi Anda. Untuk informasi selengkapnya, lihat Per timbangan saat membuat kumpulan tumpukan dengan izin yang dikelola layanan.

Orientasi manual untuk bekerja dengan Pengaturan Cepat API secara terprogram

Jika Anda menggunakan konsol untuk bekerjaQuick Setup, layanan akan menangani langkah-langkah orientasi untuk Anda. Jika Anda berencana untuk menggunakan SDK atau AWS CLI untuk bekerja dengan Quick Setup API, Anda masih dapat menggunakan konsol untuk menyelesaikan langkah-langkah orientasi untuk Anda sehingga Anda tidak perlu melakukannya secara manual. Namun, beberapa pelanggan perlu menyelesaikan langkah-langkah orientasi secara ter Quick Setup program tanpa berinteraksi dengan konsol. Jika metode ini sesuai dengan kasus penggunaan Anda, Anda harus menyelesaikan langkah-langkah berikut. Semua langkah ini harus diselesaikan dari akun AWS Organizations manajemen Anda.

Untuk menyelesaikan orientasi manual untuk Pengaturan Cepat

  1. Aktifkan akses tepercaya untuk CloudFormation dengan Organisasi. Ini memberi akun manajemen izin yang diperlukan untuk membuat dan mengelola StackSets organisasi Anda. Anda dapat menggunakan CloudFormation tindakan ActivateOrganizationsAccess API untuk menyelesaikan langkah ini. Untuk informasi selengkapnya, lihat ActivateOrganizationsAccess di dalam Referensi API AWS CloudFormation .

  2. Aktifkan integrasi Manajer Sistem dengan Organisasi. Hal ini memungkinkan Manajer Sistem untuk membuat peran terkait layanan di semua akun di organisasi Anda. Ini juga memungkinkan Manajer Sistem untuk melakukan operasi atas nama Anda di organisasi Anda dan akunnya. Anda dapat menggunakan AWS Organizations tindakan EnableAWSServiceAccess API untuk menyelesaikan langkah ini. Prinsip layanan untuk Manajer Sistem adalah ssm.amazonaws.com .Untuk informasi selengkapnya, lihat EnableAWSServiceAccess di Refer ensi AWS Organizations API.

  3. Buat peran IAM yang diperlukan untukExplorer. Ini memungkinkan Quick Setup untuk membuat dasbor untuk konfigurasi Anda sehingga Anda dapat melihat status penerapan dan asosiasi. Buat peran IAM dan lampirkan kebijakan terkel AWSSystemsManagerEnableExplorerExecutionPolicy ola. Ubah kebijakan kepercayaan untuk peran agar sesuai dengan yang berikut ini. Ganti masing-masing account ID dengan informasi Anda.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:*:ssm:*:111122223333:automation-execution/*"
                }
            }
        }
    ]
}

  4. Perbarui pengaturan Quick Setup layanan untukExplorer. Anda dapat menggunakan Quick Setup tindakan UpdateServiceSettings API untuk menyelesaikan langkah ini. Tentukan ARN untuk peran IAM yang Anda buat pada langkah sebelumnya untuk parameter ExplorerEnablingRoleArn permintaan. Untuk informasi selengkapnya, lihat UpdateServiceSettings di dalam Referensi API Quick Setup.

  5. Buat peran IAM yang diperlukan CloudFormation StackSets untuk digunakan. Anda harus membuat peran eksekusi dan peran administrasi.

    1. Buat peran eksekusi. Peran eksekusi harus memiliki setidaknya satu dari AWSQuickSetupDeploymentRolePolicy atau kebijakan yang AWSQuickSetupPatchPolicyDeploymentRolePolicy dikelola terlampir. Jika Anda hanya membuat konfigurasi kebijakan patch, Anda dapat menggunakan kebijakan ter AWSQuickSetupPatchPolicyDeploymentRolePolicy kelola. Semua konfigurasi lainnya menggunakan AWSQuickSetupDeploymentRolePolicy kebijakan. Ubah kebijakan kepercayaan untuk peran agar sesuai dengan yang berikut ini. Ganti masing-masing account ID dan administration role name dengan informasi Anda.

      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/administration role name"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    2. Buat peran administrasi. Kebijakan izin harus sesuai dengan yang berikut ini. Ganti masing-masing account ID dan execution role name dengan informasi Anda.

      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": "arn:*:iam::111122223333:role/execution role name",
            "Effect": "Allow"
        }
    ]
}

      Ubah kebijakan kepercayaan untuk peran agar sesuai dengan yang berikut ini. Ganti masing-masing account ID dengan informasi Anda.

      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudformation.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:cloudformation:*:111122223333:stackset/AWS-QuickSetup-*"
                }
            }
        }
    ]
}