Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS politiche gestite per AWS Systems Manager

Una politica AWS gestita è una politica autonoma creata e amministrata da AWS. AWS le politiche gestite sono progettate per fornire autorizzazioni per molti casi d'uso comuni, in modo da poter iniziare ad assegnare autorizzazioni a utenti, gruppi e ruoli.

Tieni presente che le policy AWS gestite potrebbero non concedere le autorizzazioni con il privilegio minimo per i tuoi casi d'uso specifici, poiché sono disponibili per tutti i clienti. AWS Ti consigliamo pertanto di ridurre ulteriormente le autorizzazioni definendo policy gestite dal cliente specifiche per i tuoi casi d'uso.

Non è possibile modificare le autorizzazioni definite nelle politiche gestite. AWS Se AWS aggiorna le autorizzazioni definite in una politica AWS gestita, l'aggiornamento ha effetto su tutte le identità principali (utenti, gruppi e ruoli) a cui è associata la politica. AWS è più probabile che aggiorni una policy AWS gestita quando ne Servizio AWS viene lanciata una nuova o quando diventano disponibili nuove API operazioni per i servizi esistenti.

Per ulteriori informazioni, consulta le politiche AWS gestite nella Guida IAM per l'utente.

AWS politica gestita: A mazonSSMService RolePolicy

Non puoi collegarti AmazonSSMServiceRolePolicy alle tue AWS Identity and Access Management (IAM) entità. Questa policy è associata a un ruolo collegato al servizio che consente di AWS Systems Manager eseguire azioni per tuo conto. Per ulteriori informazioni, consulta Utilizzo dei ruoli per raccogliere l'inventario e visualizzare OpsData.

AmazonSSMServiceRolePolicy consente a Systems Manager di eseguire le seguenti operazioni su tutte le risorse correlate ("Resource": "*"), tranne dove indicato:

[1] L'operazione ssm:UpdateServiceSetting e ssm:GetServiceSetting consente autorizzazioni solo per le seguenti risorse.

arn:aws:ssm:*:*:servicesetting/ssm/opsitem/*
arn:aws:ssm:*:*:servicesetting/ssm/opsdata/*

[2] L'operazione lambda:InvokeFunction consente autorizzazioni solo per le seguenti risorse.

arn:aws:lambda:*:*:function:SSM*
arn:aws:lambda:*:*:function:*:SSM*

[3] Le operazioni states: consentono autorizzazioni solo per le seguenti risorse.

arn:aws:states:*:*:stateMachine:SSM*
arn:aws:states:*:*:execution:SSM*

[4] L'operazione iam:PassRole consente autorizzazioni dalla seguente condizione solo per il Systems Manager servizio.

"Condition": {
   "StringEquals": {
      "iam:PassedToService": [
         "ssm.amazonaws.com"
      ]
   }
}

[5] Il kitcloudformation:ListStackInstances,cloudformation:DescribeStackSetOperation, ecloudformation:DeleteStackSetsono consentite autorizzazioni solo per la seguente risorsa.

arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-SSM*:*

[6] L'operazione cloudformation:DeleteStackInstances consente autorizzazioni solo per le seguenti risorse.

arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-SSM*:*
arn:aws:cloudformation:*:*:stackset-target/AWS-QuickSetup-SSM*:*
arn:aws:cloudformation:*:*:type/resource/*

[7] L'operazione events:PutRule e events:PutTargets consente autorizzazioni dalla seguente condizione solo per il Systems Manager servizio:

"Condition": {
    "StringEquals": {
        "events:ManagedBy": "ssm.amazonaws.com"
    }
}

[8] Le operazioni events:RemoveTargets e events:DeleteRule consentono autorizzazioni solo per le seguenti risorse:

arn:aws:events:*:*:rule/SSMExplorerManagedRule

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento JSON sulla policy, consulta A mazonSSMService RolePolicy nella AWS Managed Policy Reference Guide.

AWS politica gestita: A mazonSSMRead OnlyAccess

Puoi allegare la AmazonSSMReadOnlyAccess politica alle tue IAM identità. Questa politica garantisce l'accesso in sola lettura a AWS Systems Manager API operazioni tra cui, Describe* e. Get* List*

Per visualizzare ulteriori dettagli sulla politica, inclusa la versione più recente del documento JSON sulla politica, vedere A mazonSSMRead OnlyAccess nella AWS Managed Policy Reference Guide.

AWS politica gestita: AWSSystemsManagerOpsDataSyncServiceRolePolicy

Non puoi collegarti AWSSystemsManagerOpsDataSyncServiceRolePolicy alle tue IAM entità. Questa policy è associata a un ruolo collegato ai servizi che consente a Systems Manager di eseguire operazioni per tuo conto. Per ulteriori informazioni, consulta Utilizzo dei ruoli per creare OpsData e OpsItems for Explorer.

AWSSystemsManagerOpsDataSyncServiceRolePolicyconsente al ruolo AWSServiceRoleForSystemsManagerOpsDataSync collegato al servizio di creare OpsItems e aggiornare i risultati OpsData . AWS Security Hub

La policy consente a Systems Manager di eseguire le seguenti operazioni su tutte le risorse correlate ("Resource": "*"), tranne dove indicato:

[1] Le operazioni ssm:GetOpsItem e ssm:UpdateOpsItem consentono autorizzazioni solo dalla seguente condizione per il servizio Systems Manager.

"Condition": {
    "StringEquals": {
        "aws:ResourceTag/ExplorerSecurityHubOpsItem": "true"
    }
}

[2] L'operazione ssm:AddTagsToResource consente autorizzazioni solo per la seguente risorsa.

arn:aws:ssm:*:*:opsitem/*

[3] Le operazioni ssm:UpdateServiceSetting e ssm:GetServiceSetting consentono autorizzazioni solo per le seguenti risorse.

arn:aws:ssm:*:*:servicesetting/ssm/opsitem/*
arn:aws:ssm:*:*:servicesetting/ssm/opsdata/*

[4] Il kitsecurityhub:BatchUpdateFindingsLe autorizzazioni vengono negate dalla seguente condizione perSystems Managersolo servizio.

{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"securityhub:ASFFSyntaxPath/Workflow.Status": "SUPPRESSED"
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Confidence": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Criticality": false
				}
			}
		},		
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Note.Text": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Note.UpdatedBy": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/RelatedFindings": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Types": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/UserDefinedFields.key": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/UserDefinedFields.value": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/VerificationState": false
				}
			}

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento JSON sulla policy, consulta AWSSystemsManagerOpsDataSyncServiceRolePolicyla AWS Managed Policy Reference Guide.

AWS politica gestita: A mazonSSMManaged EC2InstanceDefaultPolicy

Devi assegnare IAM ruoli solo AmazonSSMManagedEC2InstanceDefaultPolicy alle EC2 istanze Amazon per le quali desideri avere l'autorizzazione all'uso della Systems Manager funzionalità. Non dovresti assegnare questo ruolo ad altre IAM entità, come IAM utenti e IAM gruppi, o a IAM ruoli che servono ad altri scopi. Per ulteriori informazioni, consulta Gestione automatica delle EC2 istanze con la configurazione di gestione host predefinita.

Questa politica concede autorizzazioni che consentono SSM Agent alla tua EC2 istanza Amazon di comunicare con il servizio Systems Manager nel cloud per eseguire una serie di attività. Concede inoltre le autorizzazioni per i due servizi che forniscono token di autorizzazione per garantire che le operazioni vengano eseguite sull'istanza corretta.

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per informazioni correlate sugli ec2messages endpoint ssmmessages e, incluse le differenze tra i due, vedereAPIOperazioni (ed endpoint) ssmmessages relative agli agenti ec2messages.

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento sulla JSON policy, consulta A mazonSSMManaged EC2InstanceDefaultPolicy nella AWS Managed Policy Reference Guide.

AWS politica gestita: SSMQuickSetupRolePolicy

Non puoi collegarti SSMQuickSetupRolePolicy alle tue IAM entità. Questa policy è associata a un ruolo collegato ai servizi che consente a Systems Manager di eseguire operazioni per tuo conto. Per ulteriori informazioni, consulta Utilizzo dei ruoli per la manutenzione Quick Setup- integrità e coerenza delle risorse fornite.

Questa politica concede autorizzazioni di sola lettura che consentono a Systems Manager di verificare lo stato della configurazione, garantire l'uso coerente dei parametri e delle risorse assegnate e correggere le risorse quando viene rilevata una deriva.

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento sulla policy, consulta la AWS Managed JSON Policy SSMQuickSetupRolePolicyReference Guide.

AWS politica gestita: AWSQuickSetupDeploymentRolePolicy

La policy gestita AWSQuickSetupDeploymentRolePolicy supporta diversi tipi di Quick Setup configurazione. Questi tipi di configurazione creano IAM ruoli e automazioni che configurano i servizi e le funzionalità di Amazon Web Services usati di frequente secondo le best practice consigliate.

Puoi collegarti AWSQuickSetupDeploymentRolePolicy alle tue IAM entità.

Questa politica concede le autorizzazioni amministrative necessarie per creare risorse associate alle seguenti Quick Setup configurazioni:

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento sulla policy, consulta la AWS Managed JSON Policy AWSQuickSetupDeploymentRolePolicyReference Guide.

AWS politica gestita: AWSQuickSetupPatchPolicyDeploymentRolePolicy

La politica gestita AWSQuickSetupPatchPolicyDeploymentRolePolicy supporta il Configurare l'applicazione di patch per le istanze in un'organizzazione utilizzando Quick Setup Quick Setup tipo. Questo tipo di configurazione consente di automatizzare l'applicazione di patch ad applicazioni e nodi in un singolo account o in tutta l'organizzazione.

Puoi collegarti AWSQuickSetupPatchPolicyDeploymentRolePolicy alle tue IAM entità. Systems Managerassocia inoltre questa politica a un ruolo di servizio che consente di Systems Manager eseguire azioni per conto dell'utente.

Questa politica concede autorizzazioni amministrative che consentono di creare risorse associate Quick Setup a una configurazione di policy di patch.

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento JSON sulla policy, consulta AWSQuickSetupPatchPolicyDeploymentRolePolicyla AWS Managed Policy Reference Guide.

AWS politica gestita: AWSQuickSetupPatchPolicyBaselineAccess

La politica gestita AWSQuickSetupPatchPolicyBaselineAccess supporta il Configurare l'applicazione di patch per le istanze in un'organizzazione utilizzando Quick Setup Quick Setup tipo. Questo tipo di configurazione consente di automatizzare l'applicazione di patch ad applicazioni e nodi in un singolo account o in tutta l'organizzazione.

Puoi collegarti AWSQuickSetupPatchPolicyBaselineAccess alle tue IAM entità. Systems Managerassocia inoltre questa politica a un ruolo di servizio che consente di Systems Manager eseguire azioni per conto dell'utente.

Questa policy fornisce autorizzazioni di sola lettura per accedere alle baseline delle patch che sono state configurate da un amministratore dell'azienda o dall'organizzazione utilizzando. Account AWS Quick Setup Le linee di base delle patch sono archiviate in un bucket Amazon S3 e possono essere utilizzate per applicare patch a istanze in un singolo account o in un'intera organizzazione.

Dettagli dell'autorizzazione

Questa politica include le seguenti autorizzazioni.

Per ulteriori dettagli sulla policy, inclusa la versione più recente del documento relativo alla policy, consulta la Managed JSON Policy Reference Guide AWSQuickSetupPatchPolicyBaselineAccess.AWS

AWS politica gestita: AWSSystemsManagerEnableExplorerExecutionPolicy

La policy gestita AWSSystemsManagerEnableExplorerExecutionPolicy supporta l'abilitazioneExplorer, una funzionalità di AWS Systems Manager.

Puoi collegarti AWSSystemsManagerEnableExplorerExecutionPolicy alle tue IAM entità. Systems Managerassocia inoltre questa politica a un ruolo di servizio che consente di Systems Manager eseguire azioni per conto dell'utente.

Questa politica concede le autorizzazioni amministrative per l'abilitazione. Explorer Ciò include le autorizzazioni per aggiornare le impostazioni dei Systems Manager servizi correlati e per creare un ruolo collegato al servizio per. Systems Manager

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento JSON sulla policy, consulta AWSSystemsManagerEnableExplorerExecutionPolicyla AWS Managed Policy Reference Guide.

AWS politica gestita: AWSSystemsManagerEnableConfigRecordingExecutionPolicy

La politica gestita AWSSystemsManagerEnableConfigRecordingExecutionPolicy supporta il tipo di Crea un registratore AWS Config di configurazione usando Quick Setup Quick Setup configurazione. Questo tipo di configurazione consente Quick Setup di tenere traccia e registrare le modifiche ai tipi di AWS risorse scelti AWS Config. Consente inoltre di Quick Setup configurare le opzioni di consegna e notifica per i dati registrati.

Puoi collegarti AWSSystemsManagerEnableConfigRecordingExecutionPolicy alle tue IAM entità. Systems Managerassocia inoltre questa politica a un ruolo di servizio che consente di Systems Manager eseguire azioni per conto dell'utente.

Questa politica concede autorizzazioni amministrative che consentono di abilitare e configurare Quick Setup AWS Config la registrazione della configurazione.

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento sulla policy, consulta la AWS Managed JSON Policy AWSSystemsManagerEnableConfigRecordingExecutionPolicyReference Guide.

AWS politica gestita: AWSQuickSetupDevOpsGuruPermissionsBoundary

La politica gestita AWSQuickSetupDevOpsGuruPermissionsBoundary supporta il tipo. Configura DevOps Guru usando Quick Setup Il tipo di configurazione abilita Amazon DevOps Guru basato sull'apprendimento automatico. Il servizio DevOps Guru può aiutare a migliorare le prestazioni operative e la disponibilità di un'applicazione.

Quando si crea una AWSQuickSetupDevOpsGuruPermissionsBoundary configurazione utilizzandoQuick Setup, il sistema applica questo limite di autorizzazioni ai IAM ruoli creati quando la configurazione viene distribuita. Il limite delle autorizzazioni limita l'ambito dei ruoli che crea. Quick Setup

Questa politica concede autorizzazioni amministrative che consentono di abilitare e Quick Setup configurare Amazon DevOps Guru.

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento sulla policy, consulta la AWS Managed JSON Policy AWSQuickSetupDevOpsGuruPermissionsBoundaryReference Guide.

AWS politica gestita: AWSQuickSetupDistributorPermissionsBoundary

La policy gestita AWSQuickSetupDistributorPermissionsBoundary supporta il tipo di Implementazione Distributor pacchetti che utilizzano Quick Setup Quick Setup configurazione. Il tipo di configurazione consente di abilitare la distribuzione di pacchetti software, come agenti, alle istanze Amazon Elastic Compute Cloud (AmazonEC2), utilizzando Distributor, una funzionalità di. AWS Systems Manager

Quando crei una AWSQuickSetupDistributorPermissionsBoundary configurazione utilizzandoQuick Setup, il sistema applica questo limite di autorizzazioni ai IAM ruoli creati quando la configurazione viene distribuita. Il limite delle autorizzazioni limita l'ambito dei ruoli che crea. Quick Setup

Questa politica concede autorizzazioni amministrative che consentono di Quick Setup abilitare la distribuzione di pacchetti software, come agenti, alle EC2 istanze Amazon utilizzando Distributor.

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento sulla policy, consulta la AWS Managed JSON Policy AWSQuickSetupDistributorPermissionsBoundaryReference Guide.

AWS politica gestita: AWSQuickSetupSSMHostMgmtPermissionsBoundary

La policy gestita AWSQuickSetupSSMHostMgmtPermissionsBoundary supporta il tipo di Configura la gestione EC2 dell'host Amazon utilizzando Quick Setup Quick Setup configurazione. Questo tipo di configurazione configura i IAM ruoli e abilita le funzionalità di Systems Manager di uso comune per gestire in modo sicuro le istanze AmazonEC2.

Quando crei una AWSQuickSetupSSMHostMgmtPermissionsBoundary configurazione utilizzandoQuick Setup, il sistema applica questo limite di autorizzazioni ai IAM ruoli creati al momento della distribuzione della configurazione. Il limite delle autorizzazioni limita l'ambito dei ruoli che crea. Quick Setup

Questa politica concede autorizzazioni amministrative che consentono Quick Setup di abilitare e configurare le funzionalità di Systems Manager necessarie per la gestione sicura delle istanze. EC2

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento sulla policy, consulta la AWS Managed JSON Policy AWSQuickSetupSSMHostMgmtPermissionsBoundaryReference Guide.

AWS politica gestita: AWSQuickSetupPatchPolicyPermissionsBoundary

La politica gestita AWSQuickSetupPatchPolicyPermissionsBoundary supporta il tipo. Configurare l'applicazione di patch per le istanze in un'organizzazione utilizzando Quick Setup Quick Setup Questo tipo di configurazione consente di automatizzare l'applicazione di patch ad applicazioni e nodi in un singolo account o in tutta l'organizzazione.

Quando si crea una AWSQuickSetupPatchPolicyPermissionsBoundary configurazione utilizzandoQuick Setup, il sistema applica questo limite di autorizzazioni ai IAM ruoli creati al momento della distribuzione della configurazione. Il limite delle autorizzazioni limita l'ambito dei ruoli che crea. Quick Setup

Questa politica concede autorizzazioni amministrative che consentono di Quick Setup abilitare e configurare le politiche di patch inPatch Manager, una capacità di. AWS Systems Manager

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla policy, inclusa la versione più recente del documento sulla policy, consulta la AWS Managed JSON Policy AWSQuickSetupPatchPolicyPermissionsBoundaryReference Guide.

AWS politica gestita: AWSQuickSetupSchedulerPermissionsBoundary

La policy gestita AWSQuickSetupSchedulerPermissionsBoundary supporta il tipo di Arresta e avvia EC2 le istanze automaticamente in base a una pianificazione utilizzando Quick Setup Quick Setup configurazione. Questo tipo di configurazione consente di arrestare e avviare le EC2 istanze e le altre risorse nei momenti specificati.

Quando crei una AWSQuickSetupSchedulerPermissionsBoundary configurazione utilizzandoQuick Setup, il sistema applica questo limite di autorizzazioni ai IAM ruoli creati quando viene distribuita la configurazione. Il limite delle autorizzazioni limita l'ambito dei ruoli che crea. Quick Setup

Questa politica concede autorizzazioni amministrative che consentono di Quick Setup abilitare e configurare operazioni pianificate su EC2 istanze e altre risorse.

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla politica, inclusa la versione più recente del documento sulla politica, consulta la AWS Managed JSON Policy AWSQuickSetupSchedulerPermissionsBoundaryReference Guide.

AWS politica gestita: AWSQuickSetupCFGCPacksPermissionsBoundary

La policy gestita AWSQuickSetupCFGCPacksPermissionsBoundary supporta il tipo di Implementa il AWS Config pacchetto di conformità utilizzando Quick Setup Quick Setup configurazione. Questo tipo di configurazione implementa pacchetti di AWS Config conformità. I pacchetti di conformità sono raccolte di AWS Config regole e azioni correttive che possono essere implementate come un'unica entità.

Quando si crea una AWSQuickSetupCFGCPacksPermissionsBoundary configurazione utilizzandoQuick Setup, il sistema applica questo limite di autorizzazioni ai IAM ruoli creati al momento della distribuzione della configurazione. Il limite delle autorizzazioni limita l'ambito dei ruoli che crea. Quick Setup

Questa politica concede autorizzazioni amministrative che consentono di distribuire pacchetti Quick Setup di conformità. AWS Config

Dettagli dell'autorizzazione

Questa policy include le seguenti autorizzazioni:

Per visualizzare maggiori dettagli sulla politica, inclusa la versione più recente del documento relativo alla JSON policy, consulta AWSQuickSetupCFGCPacksPermissionsBoundaryla AWS Managed Policy Reference Guide.

Systems Manageraggiornamenti alle politiche AWS gestite

Nella tabella seguente, visualizza i dettagli sugli aggiornamenti alle politiche AWS gestite Systems Manager da quando questo servizio ha iniziato a tenere traccia di queste modifiche il 12 marzo 2021. Per informazioni su altre politiche gestite per il servizio Systems Manager, vedere Politiche gestite aggiuntive per Systems Manager più avanti in questo argomento. Per ricevere avvisi automatici sulle modifiche a questa pagina, iscriviti al RSS feed presente nella Systems Manager Cronologia dei documenti pagina.

Politiche gestite aggiuntive per Systems Manager

Oltre alle policy gestite descritte in precedenza in questo argomento, Systems Manager supporta anche le seguenti policy.