• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione di Amazon CloudWatch Dashboard.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS Systems Manager esempi di politiche basate sull'identità

Per impostazione predefinita, le entità AWS Identity and Access Management (IAM) (utenti e ruoli) non dispongono dell'autorizzazione per creare o modificare AWS Systems Manager risorse. Inoltre, non possono eseguire attività utilizzando la console di Systems Manager, AWS Command Line Interface (AWS CLI) o AWS l'API. Un amministratore deve creare le policy IAM che concedono a utenti e ruoli l'autorizzazione per eseguire operazioni API specifiche sulle risorse specificate di cui hanno bisogno. L’amministratore devi quindi collegare queste policy a utenti o gruppi che richiedono tali autorizzazioni.

Di seguito è riportato un esempio di politica delle autorizzazioni che consente a un utente di eliminare documenti con nomi che iniziano con MyDocument- Stati Uniti orientali (Ohio) (us-east-2). Regione AWS

JSON

{
  "Version":"2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "ssm:DeleteDocument"
      ],
      "Resource" : [
        "arn:aws:ssm:us-east-1:111122223333:document/MyDocument-*"
      ]
    }
  ]
}

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy nella Guida per l'utente IAM.

Best practice per le policy

Identity-based le politiche stabiliscono se qualcuno può creare, accedere o eliminare Systems Manager risorse nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l’ Account AWS. Quando si creano o modificano policy basate sull’identità, seguire queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l’utente di IAM.

Esempio: autorizzazione all'uso di Systems Manager console

Per accedere alla console di Systems Manager è necessario disporre di una serie di autorizzazioni minima. Queste autorizzazioni devono consentire di elencare e visualizzare i dettagli relativi alle risorse Systems Manager e ad altre risorse nel proprio Account AWS.

Se crei una policy basata su identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità IAM (utenti o ruoli) associate a tale policy.

Non è necessario consentire le autorizzazioni minime della console per gli utenti che effettuano chiamate solo all'API AWS CLI o all' AWS API. Al contrario, è possibile accedere solo alle operazioni che soddisfano l’operazione API che stai cercando di eseguire.

Per garantire che utenti e ruoli possano ancora utilizzare la console di Systems Manager, allega anche la policy AmazonSSMFullAccess or AmazonSSMReadOnlyAccess AWS managed alle entità. Per maggiori informazioni, consulta Aggiunta di autorizzazioni a un utente nella Guida per l’utente di IAM.

Esempio: consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy in linea e quelle gestite che sono collegate alla relativa identità utente. Questa policy include le autorizzazioni per completare questa azione sulla console o a livello di codice utilizzando l' AWS CLI API or. AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Esempio: autorizzazione per leggere e descrivere parametri individuali

Esempi di policy gestite dal cliente

È possibile creare policy autonome amministrate nel proprio Account AWS. Facciamo riferimento a queste policy con il nome di policy gestite dal cliente. Puoi allegare queste politiche a più entità principali del tuo. Account AWS Quando si allega una policy a un'entità principale, è necessario fornire all'entità le autorizzazioni definite nella policy. Per ulteriori informazioni, consulta Esempi di policy gestite dal cliente nella Guida per l'utente IAM.

I seguenti esempi di policy utente concedono le autorizzazioni per varie operazioni di Systems Manager. Utilizzale per limitare l'accesso a Systems Manager per le entità IAM (utenti e ruoli). Queste politiche funzionano quando si eseguono azioni nell'Systems ManagerAPI, negli AWS SDK o nel AWS CLI. Per gli utenti che utilizzano la console, devi concedere autorizzazioni aggiuntive specifiche per la console. Per ulteriori informazioni, consulta Esempio: autorizzazione all'uso di Systems Manager console.

Esempi

Esempio 1: consenti a un utente di eseguire Systems Manager operazioni in una singola regione

Il seguente esempio concede le autorizzazioni per eseguire le operazioni Systems Manager solo nella Regione Stati Uniti orientali (Ohio) (us-east-2).

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:*"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:*"
            ]
        }
    ]
}

Esempio 2: permettere a un utente di elencare i documenti per una sola Regione

Nell'esempio seguente vengono concesse autorizzazioni per elencare tutti i nomi dei documenti che iniziano con Update nella Regione Stati Uniti orientali (Ohio) (us-east-2).

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:ListDocuments"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:document/Update*"
            ]
        }
    ]
}

Esempio 3: permettere a un utente di utilizzare un documento SSM specifico per eseguire comandi su nodi specifici

L'esempio seguente di policy IAM consente all'utente di effettuare le seguenti operazioni nella Regione Stati Uniti orientali (Ohio) (us-east-2):

Per concedere a un utente il permesso di utilizzare questo documento per inviare comandi su qualsiasi nodo a cui ha accesso, specifica una voce simile alla seguente nella Resource sezione. Rimuovete le altre voci del nodo. Questo esempio utilizza la regione Stati Uniti orientali (Ohio) (us-east-2).

"arn:aws:ec2:us-east-2:*:instance/*"

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "ssm:ListDocuments",
                "ssm:ListDocumentVersions",
                "ssm:DescribeDocument",
                "ssm:GetDocument",
                "ssm:DescribeInstanceInformation",
                "ssm:DescribeDocumentParameters",
                "ssm:DescribeInstanceProperties"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ssm:SendCommand",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ec2:us-east-1:111122223333:instance/i-02573cafcfEXAMPLE",
                "arn:aws:ec2:us-east-1:111122223333:instance/i-0471e04240EXAMPLE",
                "arn:aws:ec2:us-east-1:111122223333:instance/i-07782c72faEXAMPLE",
                
                "arn:aws:ssm:us-east-1:111122223333:document/Systems-Manager-document-name"
            ]
        },
        {
            "Action": [
                "ssm:CancelCommand",
                "ssm:ListCommands",
                "ssm:ListCommandInvocations"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ec2:DescribeInstanceStatus",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:document/*",
                "arn:aws:ssm:us-east-1:111122223333:automation-execution/*"
            ]
        },
        {
            "Action": "ssm:DescribeAutomationExecutions",
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Action": [
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        }
    ]
}

Visualizzazione Systems Manager documenti basati su tag

È possibile utilizzare le condizioni nella policy basata sulle identità per controllare l'accesso alle risorse di Systems Manager in base ai tag. Questo esempio mostra come creare una policy che consente di visualizzare un documento SSM. Tuttavia, l'autorizzazione viene concessa solo se il valore del tag del documento Owner è quello del nome utente. Questa policy concede anche le autorizzazioni necessarie per completare questa azione nella console.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ListDocumentsInConsole",
            "Effect": "Allow",
            "Action": "ssm:ListDocuments",
            "Resource": "*"
        },
        {
            "Sid": "ViewDocumentIfOwner",
            "Effect": "Allow",
            "Action": "ssm:GetDocument",
            "Resource": "arn:aws:ssm:*:*:document/*",
            "Condition": {
                "StringEquals": {"ssm:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}

È possibile collegare questa policy agli utenti nell'account. Se un utente denominato richard-roe tenta di visualizzare un documento Systems Manager, il documento deve essere contrassegnato con Owner=richard-roe o owner=richard-roe. In caso contrario, l'accesso viene negato. La chiave di tag di condizione Owner corrisponde a Owner e owner perché i nomi delle chiavi di condizione non effettuano la distinzione tra maiuscole e minuscole. Per ulteriori informazioni, consulta la sezione Elementi delle policy JSON IAM: condizione nella Guida per l'utente IAM.