Configurazione di ruoli e autorizzazioni per Change Manager

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione, seleziona Policies (Policy) e Create Policy (Crea policy).

Nella pagina Crea policy, scegli la scheda JSON e sostituisci il contenuto predefinito con il seguente, che potrai modificare a tuo piacimento Change Manager operazioni nei passaggi seguenti.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::delegated-admin-account-id:role/AWS-SystemsManager-job-functionAdministrationRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocument",
                "ssm:GetDocument",
                "ssm:StartChangeRequestExecution"
            ],
            "Resource": [
                "arn:aws:ssm:region:account-id:automation-definition/template-name:$DEFAULT",
                "arn:aws:ssm:region::document/template-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:ListOpsItemEvents",
                "ssm:GetOpsItem",
                "ssm:ListDocuments",
                "ssm:DescribeOpsItems"
            ],
            "Resource": "*"
        }
    ]
}

Per l'iam:PassRoleazione, aggiorna il Resource valore per includere tutte le funzioni lavorative definite per l' ARNs organizzazione a cui desideri concedere le autorizzazioni per avviare i flussi di lavoro dei runbook.

Sostituisci i job-function segnaposti regionaccount-id,template-name,delegated-admin-account-id, e con i valori per Change Manager operazioni.

Per la seconda istruzione di Resource, modifica l'elenco in modo da includere tutti i modelli di modifica per i quali desideri concedere le autorizzazioni. In alternativa, specifica "Resource": "*" per concedere le autorizzazioni per tutti i modelli di modifica nell'organizzazione.

Scegli Successivo: Tag.

(Facoltativo) Aggiungere una o più coppie tag chiave-valore per organizzare, monitorare o controllare l'accesso per questa policy.

Scegli Prossimo: Rivedi.

Nella pagina Review policy (Rivedi policy), immetti un nome nella casella Name (Nome), ad esempio MyChangeManagerAssumeRole, quindi immetti una descrizione facoltativa.

Scegli Create policy (Crea policy) e continua con Attività 2: creazione di un ruolo secondario per Change Manager.

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione, scegli Ruoli e quindi Crea ruolo.

Per Select trusted entity (Seleziona un'entità attendibile), effettua le seguenti selezioni:

Scegli Next (Successivo).

Nella pagina Attached permissions policy (Policy delle autorizzazioni collegate), cerca la policy del ruolo da assegnare creato in Attività 1: Creazione di una politica relativa all'assunzione di ruoli per Change Manager, ad esempio MyChangeManagerAssumeRole.

Seleziona la casella di controllo accanto al nome della policy, quindi scegli Next: Tags (Successivo: Tag).

Per Nome ruolo, inserisci un nome per il nuovo profilo dell'istanza, ad esempio MyChangeManagerAssumeRole.

(Facoltativo) Per Role description (Descrizione ruolo), aggiorna la descrizione di questo ruolo dell'istanza.

(Facoltativo) Aggiungere una o più coppie tag chiave-valore per organizzare, monitorare o controllare l'accesso per questo ruolo.

Scegli Prossimo: Rivedi.

(Facoltativo) Per Tags (Tag), aggiungi una o più coppie tag chiave-valore chiave per organizzare, monitorare o controllare l'accesso per questo ruolo, quindi scegli Create role (Crea ruolo). Il sistema ti riporta alla pagina Ruoli.

Scegliere Create role (Crea ruolo). Il sistema visualizza di nuovo la pagina Roles (Ruoli).

Nella pagina Roles (Ruoli) scegliere il ruolo appena creato per aprire la pagina Summary (Riepilogo).

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione, seleziona Ruoli.

Cerca il Change Manager assumi il ruolo che hai creato, ad esempioMyChangeManagerAssumeRole, e scegline il nome.

Nella pagina Summary (Riepilogo) del ruolo assunto, scegli la scheda Permissions (Autorizzazioni).

Scegli Add permissions, Create inline policy (Aggiungi autorizzazioni, Crea policy inline).

Nella pagina Create Policy (Crea policy), scegliere la scheda Visual editor (Editor visivo).

Scegliere Service (Servizio), quindi IAM.

Nella casella di testo Filtro azioniPassRole, immettete e scegliete l'PassRoleopzione.

Espandi Resources (Risorse). Verifica che l'opzione Specific (Specifico) sia selezionata, quindi scegliere Add ARN (Aggiungi ARN).

Nel campo Specify ARN for role (Specifica ARN per il ruolo), immetti l'ARN del ruolo del profilo dell'istanza IAM o del ruolo di servizio IAM a cui desideri passare le autorizzazioni del ruolo assunto. Il sistema popola automaticamente i campi Account e Role name with path (Nome ruolo con percorso).

Scegliere Add (Aggiungi).

Scegliere Review policy (Rivedi policy).

Per Name (Nome), inserisci un nome per identificare questa policy, quindi scegli Create policy (Crea policy).

Accedi AWS Management Console e apri la console IAM all'indirizzo. https://console.aws.amazon.com/iam/

Nel riquadro di navigazione, seleziona Ruoli.

Nell'elenco, scegli il nome del ruolo assunto che desideri aggiornare, ad esempio MyChangeManagerAssumeRole.

Scegli la scheda Autorizzazioni.

Scegli Add permissions, Create inline policy (Aggiungi autorizzazioni, Crea policy inline).

Scegli la scheda JSON.

Inserisci un documento di policy JSON per il file Servizi AWS che desideri richiamare. Di seguito sono riportati due documenti della policy JSON di esempio.

Esempio di PutObject e GetObject di Amazon S3

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}
        

Amazon EC2 CreateSnapshot ed DescribeSnapShots esempio

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ec2:CreateSnapshot",
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":"ec2:DescribeSnapshots",
         "Resource":"*"
      }
   ]
}

Per informazioni sul linguaggio della policy IAM consulta Riferimento alle policy JSON IAM nella Guida per l'utente di IAM.

Al termine, seleziona Review policy (Rivedi policy). In Policy Validator (Validatore di policy) vengono segnalati eventuali errori di sintassi.

Per Name (Nome), inserisci un nome per identificare la policy che stai creando. Consulta il Summary (Riepilogo) della policy per visualizzare le autorizzazioni concesse dalla policy. Seleziona Create policy (Crea policy) per salvare il proprio lavoro.

Una volta creata, una policy inline viene automaticamente incorporata nel ruolo.