View a markdown version of this page

Ruolo di invio dell’automazione - AWS Systems Manager

• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione di Amazon CloudWatch Dashboard.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Ruolo di invio dell’automazione

Il ruolo di invio dell'automazione è il ruolo State Manager utilizzato quando avvia un'esecuzione di automazione su un Cloud Connector. State Managerpassa il ruolo di assunzione dell'automazione ad Automation attraverso questo ruolo. Il ruolo di dispatch assume anche direttamente il ruolo di federazione di Azure, quindi State Manager può determinare quali macchine virtuali di Azure corrispondono agli obiettivi di un Cloud Connector quando viene eseguita un'associazione.

Schema di denominazione del ruolo: SSM-AzureDispatchRole-connector-name-id8

La politica di fiducia consente al responsabile del servizio di Systems Manager di assumere il ruolo, limitato al tuo Account AWS. Sostituisci 123456789012 con l'ID dell' Account AWS .

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                }
            }
        }
    ]
}

La politica delle autorizzazioni garantisce le azioni State Manager necessarie per inviare le esecuzioni di automazione agli obiettivi di un Cloud Connector. Sostituiscila 123456789012 con il tuo Account AWS ID, us-east-1 con Regione AWS quello in cui è stato creato Cloud Connector, SSM-AzureAssumeRole-MyConnector-a1b2c3d4 con il nome del ruolo di assunzione dell'automazione, SSM-AzureRole-MyConnector-a1b2c3d4 con il nome del ruolo federativo di Azure e connector-id con l'ID di Cloud Connector.

Dettagli delle autorizzazioni

Questa policy include le seguenti autorizzazioni:

  • iam:PassRole— Consente di State Manager passare il ruolo di assunzione dell'automazione ad Automation all'avvio di un'esecuzione di un runbook. La iam:PassedToService condizione limita il passaggio e lo limita alle ssm.amazonaws.com esecuzioni del AWS-InstallSSMAgentOnAzure runbook e dell'automazione nei connettori. iam:AssociatedResourceARN Regione AWS

  • iam:ListRoleTags— Consente di State Manager leggere i tag sui ruoli per confermare che appartengono allo stesso Cloud Connector prima di passarli o assumerli.

  • ssm:GetCloudConnector— Consente di State Manager leggere la configurazione di Cloud Connector durante la risoluzione del target.

  • ssm:ListCloudConnectors— Consente di State Manager enumerare Cloud Connectors durante la risoluzione degli obiettivi delle associazioni.

  • ssm:DescribeInstanceInformation— Consente di State Manager leggere lo stato dei nodi gestiti registrati tramite il connettore per determinare quali obiettivi sono idonei.

  • ssm:StartAutomationExecution— Consente di State Manager avviare un'esecuzione automatica del AWS-InstallSSMAgentOnAzure runbook rispetto agli obiettivi del connettore.

  • sts:AssumeRole— Consente di State Manager assumere il ruolo di federazione di Azure in modo che possa autenticarsi su Azure durante la risoluzione degli obiettivi del connettore.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/service-role/SSM-AzureAssumeRole-MyConnector-a1b2c3d4",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                },
                "ArnLike": {
                    "iam:AssociatedResourceARN": [
                        "arn:aws:ssm:us-east-1:*:document/AWS-InstallSSMAgentOnAzure",
                        "arn:aws:ssm:us-east-1:*:automation-definition/AWS-InstallSSMAgentOnAzure:1",
                        "arn:aws:ssm:us-east-1:123456789012:automation-execution/*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetCloudConnector",
            "Resource": "arn:aws:ssm:us-east-1:123456789012:cloud-connector/connector-id"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartAutomationExecution",
            "Resource": [
                "arn:aws:ssm:us-east-1:*:document/AWS-InstallSSMAgentOnAzure",
                "arn:aws:ssm:us-east-1:*:automation-definition/AWS-InstallSSMAgentOnAzure:1",
                "arn:aws:ssm:us-east-1:123456789012:automation-execution/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::123456789012:role/service-role/SSM-AzureRole-MyConnector-a1b2c3d4"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceInformation",
                "ssm:ListCloudConnectors",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        }
    ]
}