Konfigurasikan izin instans yang diperlukan untuk Systems Manager

Secara default, AWS Systems Manager tidak memiliki izin untuk melakukan tindakan pada instans Anda. Anda dapat memberikan izin instans di tingkat akun menggunakan peran AWS Identity and Access Management (IAM), atau di tingkat instans menggunakan profil instance. Jika kasus penggunaan Anda memungkinkan, kami sarankan untuk memberikan akses di tingkat akun menggunakan Konfigurasi Manajemen Host Default.

Konfigurasi yang disarankan untuk izin EC2 misalnya

Konfigurasi Manajemen Host Default memungkinkan Systems Manager mengelola EC2 instans Amazon Anda secara otomatis. Setelah Anda mengaktifkan setelan ini, semua instance menggunakan Instance Metadata Service Version 2 (IMDSv2) di dan dengan Wilayah AWS Akun AWS SSM Agent versi 3.2.582.0 atau yang lebih baru diinstal secara otomatis menjadi instance terkelola. Konfigurasi Manajemen Host Default tidak mendukung Layanan Metadata Instans Versi 1. Untuk informasi tentang transisi keIMDSv2, lihat Transisi menggunakan Layanan Metadata Instans Versi 2 di Panduan Pengguna Amazon. EC2 Untuk informasi tentang memeriksa versi SSM Agent diinstal pada instance Anda, lihatMemeriksa nomor SSM Agent versi. Untuk informasi tentang memperbarui SSM Agent, lihat Memperbarui secara otomatis SSM Agent. Manfaat instans terkelola meliputi:

Fleet Manager, Persediaan, Patch Manager, dan Session Manager adalah kemampuan AWS Systems Manager.

Konfigurasi Manajemen Host Default memungkinkan pengelolaan instans tanpa menggunakan profil instans dan memastikan bahwa Systems Manager memiliki izin untuk mengelola semua instance di Wilayah dan akun. Jika izin yang diberikan tidak cukup untuk kasus penggunaan, Anda juga dapat menambahkan kebijakan ke IAM peran default yang dibuat oleh Konfigurasi Manajemen Host Default. Atau, jika Anda tidak memerlukan izin untuk semua kemampuan yang disediakan oleh IAM peran default, Anda dapat membuat peran dan kebijakan kustom Anda sendiri. Setiap perubahan yang dibuat pada IAM peran yang Anda pilih untuk Konfigurasi Manajemen Host Default berlaku untuk semua EC2 instans Amazon yang dikelola di Wilayah dan akun. Untuk informasi selengkapnya tentang kebijakan yang digunakan oleh Konfigurasi Manajemen Host Default, lihat. AWS kebijakan terkelola: A mazonSSMManaged EC2InstanceDefaultPolicy Untuk informasi selengkapnya tentang Konfigurasi Manajemen Host Default, lihatMengelola EC2 instans secara otomatis dengan Konfigurasi Manajemen Host Default.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"ssm:GetServiceSetting",
				"ssm:ResetServiceSetting",
				"ssm:UpdateServiceSetting"
			],
			"Resource": "arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role"
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": "arn:aws:iam::account-id:role/service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole",
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"ssm.amazonaws.com"
					]
				}
			}
		}
	]
}

Konfigurasi alternatif untuk izin EC2 misalnya

Anda dapat memberikan akses pada tingkat instans individual dengan menggunakan profil instance AWS Identity and Access Management (IAM). Profil instans adalah kontainer yang meneruskan informasi IAM peran ke instans Amazon Elastic Compute Cloud (AmazonEC2) saat peluncuran. Anda dapat membuat profil instans untuk Systems Manager dengan melampirkan satu atau lebih IAM kebijakan yang menentukan izin yang diperlukan untuk peran baru atau peran yang telah Anda buat.

Perhatikan rincian berikut tentang membuat profil IAM instans:

Tergantung pada apakah Anda membuat peran baru untuk profil instans atau menambahkan izin yang diperlukan ke peran yang ada, gunakan salah satu prosedur berikut.

Untuk informasi tentang cara memperbarui peran untuk menyertakan entitas tepercaya atau membatasi akses lebih lanjut, lihat Memodifikasi peran di IAMPanduan Pengguna.

(Opsional) Membuat kebijakan kustom untuk akses bucket S3

Membuat kebijakan kustom untuk akses Amazon S3 hanya jika Anda memerlukan untuk menggunakan VPC endpoint atau menggunakan bucket S3 Anda sendiri dalam operasi Systems Manager Anda. Anda dapat melampirkan kebijakan ini ke IAM peran default yang dibuat oleh Konfigurasi Manajemen Host Default, atau profil instans yang Anda buat di prosedur sebelumnya.

Untuk informasi tentang bucket S3 AWS terkelola yang Anda berikan akses ke dalam kebijakan berikut, lihat. SSM Agent komunikasi dengan bucket S3 AWS terkelola

Pertimbangan kebijakan tambahan untuk instans terkelola

Bagian ini menjelaskan beberapa kebijakan yang dapat Anda tambahkan ke IAM peran default yang dibuat oleh Konfigurasi Manajemen Host Default, atau profil instans Anda AWS Systems Manager. Untuk memberikan izin komunikasi antara instans dan Systems ManagerAPI, kami menyarankan untuk membuat kebijakan kustom yang mencerminkan kebutuhan sistem dan persyaratan keamanan Anda. Tergantung pada rencana operasi, Anda mungkin memerlukan izin yang ditunjukkan dalam satu atau beberapa kebijakan.

Melampirkan profil instans Systems Manager ke instans (konsol)

Prosedur berikut menjelaskan cara melampirkan profil IAM instance ke EC2 instans Amazon menggunakan EC2 konsol Amazon.

Untuk informasi selengkapnya tentang melampirkan IAM peran ke instans, pilih salah satu dari berikut ini, tergantung pada tipe sistem operasi yang Anda pilih:

Lanjutkan ke Meningkatkan keamanan EC2 instans dengan menggunakan VPC endpoint untuk Systems Manager.