Controllo degli accessi alle finestre di manutenzione tramite la console

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione, seleziona Policy e quindi Crea policy.

Nella sezione Editor di policy, scegli l'opzione JSON.

Sostituisci i contenuti di default con il seguente:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand",
                "ssm:CancelCommand",
                "ssm:ListCommands",
                "ssm:ListCommandInvocations",
                "ssm:GetCommandInvocation",
                "ssm:GetAutomationExecution",
                "ssm:StartAutomationExecution",
                "ssm:ListTagsForResource",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "states:DescribeExecution",
                "states:StartExecution"
            ],
            "Resource": [
                "arn:aws:states:*:*:execution:*:*",
                "arn:aws:states:*:*:stateMachine:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "resource-groups:ListGroups",
                "resource-groups:ListGroupResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ssm.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Modifica il contenuto JSON secondo necessità per le attività di manutenzione eseguite nel tuo account. Le modifiche apportate sono specifiche per le operazioni pianificate.

Per esempio:

Dopo aver completato le revisioni delle policy, scegli Successivo.

Alla voce Nome policy, inserisci un nome che la identifichi come la policy utilizzata dal ruolo di servizio che crei. Ad esempio: my-maintenance-window-role-policy.

(Facoltativo) Nella sezione Aggiungi tag, aggiungi una o più coppie tag chiave-valore per organizzare, monitorare o controllare l'accesso per questa policy.

Scegli Create Policy (Crea policy).

Prendi nota del nome specificato per la policy. Vi farai riferimento nella procedura successiva, Attività 2: crea un ruolo di servizio personalizzato per le finestre di manutenzione tramite la console.

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel riquadro di navigazione, scegli Ruoli e quindi Crea ruolo.

Per Select trusted entity (Seleziona un'entità attendibile), effettua le seguenti selezioni:

Scegli Next (Successivo).

Nella sezione Policy di autorizzazione, nella barra di ricerca, inserisci il nome della policy creata in Attività 1: crea una policy personalizzata per il ruolo di servizio della finestra di manutenzione tramite la console, seleziona il campo accanto al suo nome, quindi scegli Successivo.

Per Nome ruolo, inserisci un nome che identifichi questo ruolo come Maintenance Windows ruolo. Ad esempio: my-maintenance-window-role.

(Opzionale) Modificare la descrizione predefinita del ruolo per rispecchiarne lo scopo. Ad esempio: Performs maintenance window tasks on your behalf.

Per il passaggio 1: seleziona le entità attendibili, verifica che la seguente policy sia visualizzata nel campo Politica attendibile.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "ssm.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Per il passaggio 2: aggiungi le autorizzazioni, verifica che la politica creata in Attività 1: crea una policy personalizzata per il ruolo di servizio della finestra di manutenzione tramite la console sia presente.

(Facoltativo) Nel passaggio 3: aggiungi tag, aggiungi una o più coppie tag chiave-valore per organizzare, monitorare o controllare l'accesso per questo ruolo.

Scegliere Create role (Crea ruolo). Il sistema visualizza di nuovo la pagina Roles (Ruoli).

Scegliere il nome del ruolo IAM appena creato.

Copia o annota il nome del ruolo e il valore ARN nell'area Summary (Riepilogo). Gli utenti nel tuo account specificano queste informazioni quando creano finestre di manutenzione.

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel pannello di navigazione, seleziona Gruppi di utenti.

Nell'elenco dei gruppi, seleziona il nome del gruppo desiderato a cui assegnare l'autorizzazione iam:PassRole oppure, se necessario, crea un nuovo gruppo

Nella scheda Permissions (Autorizzazioni), scegliere Add permissions, Create inline policy (Aggiungi autorizzazioni, Crea policy in linea).

Nella sezione Editor di policy, scegli l'opzione JSON e sostituisci i contenuti di default del campo con quanto segue.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/my-maintenance-window-role"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/"
        }
    ]
}

my-maintenance-window-rolerappresenta il nome del ruolo della finestra di manutenzione personalizzata creato in precedenza.

account-idrappresenta l'ID del tuo Account AWS. L'aggiunta di questa autorizzazione per la risorsa arn:aws:iam::account-id:role/ consente a un utente di visualizzare e scegliere tra i ruoli del cliente nella console quando crea un'attività della finestra di manutenzione. L'aggiunta di questa autorizzazione per arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/ consente a un utente di scegliere il ruolo collegato ai servizi di Systems Manager nella console quando crea un'attività della finestra di manutenzione.

Scegli Next (Successivo).

Alla pagina Esamina e crea, inserisci un nome nel campo Nome policy per identificare questa policy PassRole, ad esempio my-group-iam-passrole-policy, quindi scegli Crea policy.

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel pannello di navigazione, seleziona Gruppi di utenti.

Nell'elenco dei gruppi, seleziona il nome del gruppo a cui desideri negare l'autorizzazione ssm:RegisterTaskWithMaintenanceWindow oppure, se necessario, crea un nuovo gruppo.

Nella scheda Permissions (Autorizzazioni), scegliere Add permissions, Create inline policy (Aggiungi autorizzazioni, Crea policy in linea).

Nella sezione Editor di policy, scegli l'opzione JSON e successivamente sostituisci i contenuti di default del campo con quanto segue.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:RegisterTaskWithMaintenanceWindow",
            "Resource": "*"
        }
    ]
}

Scegli Next (Successivo).

Alla pagina Esamina e crea, alla voce Nome policy, inserisci un nome per identificare questa policy, ad esempio my-groups-deny-mw-tasks-policy, quindi scegli Crea policy.