Configurazione di ruoli e autorizzazioni per Change Manager

Apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione, seleziona Policies (Policy) e Create Policy (Crea policy).

Nella pagina Crea policy, scegli la JSONscheda e sostituisci il contenuto predefinito con il seguente, che modificherai per Change Manager le tue operazioni nei passaggi seguenti.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::delegated-admin-account-id:role/AWS-SystemsManager-job-functionAdministrationRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocument",
                "ssm:GetDocument",
                "ssm:StartChangeRequestExecution"
            ],
            "Resource": [
                "arn:aws:ssm:region:account-id:automation-definition/template-name:$DEFAULT",
                "arn:aws:ssm:region::document/template-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:ListOpsItemEvents",
                "ssm:GetOpsItem",
                "ssm:ListDocuments",
                "ssm:DescribeOpsItems"
            ],
            "Resource": "*"
        }
    ]
}

Per l'iam:PassRoleazione, aggiorna il Resource valore per includere tutte le funzioni lavorative definite per l'ARNsorganizzazione a cui desideri concedere le autorizzazioni per avviare i flussi di lavoro dei runbook.

Sostituisci il region, account-id, template-name, delegated-admin-account-ide job-function segnaposti con valori per le tue Change Manager operazioni.

Per la seconda istruzione di Resource, modifica l'elenco in modo da includere tutti i modelli di modifica per i quali desideri concedere le autorizzazioni. In alternativa, specifica "Resource": "*" per concedere le autorizzazioni per tutti i modelli di modifica nell'organizzazione.

Scegli Successivo: Tag.

(Facoltativo) Aggiungere una o più coppie tag chiave-valore per organizzare, monitorare o controllare l'accesso per questa policy.

Scegli Prossimo: Rivedi.

Nella pagina Review policy (Rivedi policy), immetti un nome nella casella Name (Nome), ad esempio MyChangeManagerAssumeRole, quindi immetti una descrizione facoltativa.

Scegli Create policy (Crea policy) e continua con Attività 2: creazione di un ruolo assunto per Change Manager.

Apri la IAM console all'indirizzo. https://console.aws.amazon.com/iam/

Nel riquadro di navigazione, scegli Ruoli e quindi Crea ruolo.

Per Select trusted entity (Seleziona un'entità attendibile), effettua le seguenti selezioni:

Scegli Next (Successivo).

Nella pagina Attached permissions policy (Policy delle autorizzazioni collegate), cerca la policy del ruolo da assegnare creato in Attività 1: creazione di una policy di ruolo assunto per Change Manager, ad esempio MyChangeManagerAssumeRole.

Seleziona la casella di controllo accanto al nome della policy, quindi scegli Next: Tags (Successivo: Tag).

Per Nome ruolo, inserisci un nome per il nuovo profilo dell'istanza, ad esempio MyChangeManagerAssumeRole.

(Facoltativo) Per Role description (Descrizione ruolo), aggiorna la descrizione di questo ruolo dell'istanza.

(Facoltativo) Aggiungere una o più coppie tag chiave-valore per organizzare, monitorare o controllare l'accesso per questo ruolo.

Scegli Prossimo: Rivedi.

(Facoltativo) Per Tags (Tag), aggiungi una o più coppie tag chiave-valore chiave per organizzare, monitorare o controllare l'accesso per questo ruolo, quindi scegli Create role (Crea ruolo). Il sistema ti riporta alla pagina Ruoli.

Scegliere Create role (Crea ruolo). Il sistema visualizza di nuovo la pagina Roles (Ruoli).

Nella pagina Roles (Ruoli) scegliere il ruolo appena creato per aprire la pagina Summary (Riepilogo).

Apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione, seleziona Ruoli.

Cerca il ruolo assunto Change Manager creato, ad esempio MyChangeManagerAssumeRole, e selezionalo.

Nella pagina Summary (Riepilogo) del ruolo assunto, scegli la scheda Permissions (Autorizzazioni).

Scegli Add permissions, Create inline policy (Aggiungi autorizzazioni, Crea policy inline).

Nella pagina Create Policy (Crea policy), scegliere la scheda Visual editor (Editor visivo).

Scegli Servizio, quindi scegli IAM.

Nella casella di testo Filtro azioniPassRole, immettete e scegliete l'PassRoleopzione.

Espandi Resources (Risorse). Verifica che sia selezionata l'opzione Specifico, quindi scegli Aggiungi ARN.

Nel campo Specificare ARN il ruolo, inserisci il ruolo ARN del profilo di IAM istanza o il ruolo di IAM servizio a cui desideri passare le autorizzazioni di assunzione del ruolo. Il sistema popola automaticamente i campi Account e Role name with path (Nome ruolo con percorso).

Scegliere Add (Aggiungi).

Scegliere Review policy (Rivedi policy).

Per Name (Nome), inserisci un nome per identificare questa policy, quindi scegli Create policy (Crea policy).

Accedi a AWS Management Console e apri la IAM console all'indirizzo. https://console.aws.amazon.com/iam/

Nel riquadro di navigazione, seleziona Ruoli.

Nell'elenco, scegli il nome del ruolo assunto che desideri aggiornare, ad esempio MyChangeManagerAssumeRole.

Scegli la scheda Autorizzazioni.

Scegli Add permissions, Create inline policy (Aggiungi autorizzazioni, Crea policy inline).

Scegli la JSONscheda.

Inserisci un documento di JSON policy per Servizi AWS quello che desideri richiamare. Ecco due esempi di documenti JSON politici.

Esempio di PutObject e GetObject di Amazon S3

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}
        

Amazon EC2 CreateSnapshot ed DescribeSnapShots esempio

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ec2:CreateSnapshot",
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":"ec2:DescribeSnapshots",
         "Resource":"*"
      }
   ]
}

Per i dettagli sulla lingua della IAM policy, consulta il riferimento alla IAM JSON policy nella Guida IAM per l'utente.

Al termine, seleziona Review policy (Rivedi policy). In Policy Validator (Validatore di policy) vengono segnalati eventuali errori di sintassi.

Per Name (Nome), inserisci un nome per identificare la policy che stai creando. Consulta il Summary (Riepilogo) della policy per visualizzare le autorizzazioni concesse dalla policy. Seleziona Create policy (Crea policy) per salvare il proprio lavoro.

Una volta creata, una policy inline viene automaticamente incorporata nel ruolo.