インベントリのリソースデータ同期を作成する

Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

集計されたインベントリデータを保存するバケットを作成します。詳細については、Amazon Simple Storage Service ユーザーガイドの「バケットの作成」を参照してください。バケット名とそれを作成した AWS リージョン を書き留めます。

[Permissions] タブを選択し、[Bucket Policy] を選択します。

次のバケットポリシーをコピーし、ポリシーエディタに貼り付けます。amzn-s3-demo-bucket と account-id を、作成した S3 バケットの名前と有効な AWS アカウント ID に置き換えます。

複数の AWS アカウント がインベントリデータを中央の Amazon S3 バケットに送信できるようにするには、次の Resource の例に示すように、ポリシーで各アカウントを指定します。

"Resource": [
    "arn:aws:s3:::amzn-s3-demo-bucket1/*/accountid=123456789012/*", 
    "arn:aws:s3:::amzn-s3-demo-bucket2/*/accountid=444455556666/*",
    "arn:aws:s3:::amzn-s3-demo-bucket3/*/accountid=777788889999/*"
],
"Condition": {
    "StringEquals": {
         "s3:x-amz-acl": "bucket-owner-full-control",
         "aws:SourceAccount": [
                  "123456789012",
                  "444455556666",
                  "777788889999"
         ]
     },
      "ArnLike": {
          "aws:SourceArn": [
            "arn:aws:ssm:*:123456789012:resource-data-sync/*",
            "arn:aws:ssm:*:444455556666:resource-data-sync/*",
            "arn:aws:ssm:*:777788889999:resource-data-sync/*"
          ]
     }
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Sid": "SSMBucketPermissionsCheck",
        "Effect": "Allow",
        "Principal": {
            "Service": "ssm.amazonaws.com"
        },
        "Action": "s3:GetBucketAcl",
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket"
        },
        {
        "Sid": " SSMBucketDelivery",
        "Effect": "Allow",
        "Principal": {
            "Service": "ssm.amazonaws.com"
        },
        "Action": "s3:PutObject",
        "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket/*/accountid=ID_number/*",
            "arn:aws:s3:::amzn-s3-demo-bucket/*/accountid=ID_number/*",
            "arn:aws:s3:::amzn-s3-demo-bucket/*/accountid=ID_number/*",
            "arn:aws:s3:::amzn-s3-demo-bucket/*/accountid=ID_number/*"
        ],
        "Condition": {
            "StringEquals": {
                "s3:x-amz-acl": "bucket-owner-full-control",
                "aws:SourceAccount": "ID_number"
            },
            "ArnLike": {
                "aws:SourceArn": "arn:aws:ssm:*:ID_number:resource-data-sync/*"
            }
        }
      }
    ]
}

AWS Systems Manager コンソール (https://console.aws.amazon.com/systems-manager/) を開きます。

ナビゲーションペインで、[Fleet Manager] を選択します。

[Account management] メニューで、[Resource data sync] を選択します。

[Create resource data sync (リソースデータ同期の作成)] を選択します。

[Sync name] フィールドに、同期設定の名前を入力します。

[Bucket name] フィールドに、 リソースデータ同期用に Amazon S3 バケットを作成して設定するにはの手順を使用して作成した Amazon S3 バケットの名前を入力します。

(オプション) [Bucket prefix] フィールドに、Amazon S3 バケットのプレフィックス (サブディレクトリ) の名前を入力します。

作成した Amazon S3 バケットが現在の AWS リージョン にある場合は、[Bucket region (バケットリージョン)] フィールドで [This region (このリージョン)] を選択します。バケットが他の AWS リージョン にある場合は、[Another region(別のリージョン)] を選択して、リージョンの名前を入力します。

(オプション) [KMS キー ARN] フィールドで、KMS キー ARN を入力するか貼り付けて、Amazon S3 のインベントリデータを暗号化します。

[Create] を選択します。

Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

集計されたインベントリデータを保存するバケットを作成します。詳細については、Amazon Simple Storage Service ユーザーガイドの「バケットの作成」を参照してください。バケット名とそれを作成した AWS リージョン を書き留めます。

[Permissions] タブを選択し、[Bucket Policy] を選択します。

次のバケットポリシーをコピーし、ポリシーエディタに貼り付けます。amzn-s3-demo-bucket と organization-id を、作成した Amazon S3 バケットの名前と有効な AWS Organizations アカウント ID に置き換えます。

任意で、bucket-prefix を Amazon S3 プレフィックス (サブディレクトリ) に置き換えます。プレフィックスを作成していない場合は、次のポリシーの ARN から bucket-prefix/ を削除します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SSMBucketPermissionsCheck",
      "Effect": "Allow",
      "Principal": {
        "Service": "ssm.amazonaws.com"
      },
      "Action": "s3:GetBucketAcl",
      "Resource": "arn:aws:s3:::S3_bucket_name"
    },
    {
      "Sid": " SSMBucketDelivery",
      "Effect": "Allow",
      "Principal": {
        "Service": "ssm.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/bucket-prefix/*/accountid=*/*"
      ],
      "Condition": {
        "StringEquals": {
          "s3:x-amz-acl": "bucket-owner-full-control",
          "aws:SourceOrgID": "organization-id"
                  }
      }
    },
    {
      "Sid": " SSMBucketDeliveryTagging",
      "Effect": "Allow",
      "Principal": {
        "Service": "ssm.amazonaws.com"
      },
      "Action": "s3:PutObjectTagging",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/bucket-prefix/*/accountid=*/*"
      ]
    }
  ]
}

まだ AWS Command Line Interface (AWS CLI) をインストールして設定していない場合は、インストールして設定します。

詳細については、「AWS CLI の最新バージョンをインストールまたは更新します。」を参照してください。

次のコマンドを実行して、他の AWS Organizations ベースのリソースデータの同期がないことを確認します。複数の標準同期と Organizations ベースの同期を含む、複数の標準同期を設定できます。ただし、Organizations ベースのリソースデータの同期は 1 つだけ設定できます。

aws ssm list-resource-data-sync

コマンドが他の組織ベースのリソースデータの同期を返す場合は、削除するか、新しいリソースデータ同期を作成しないように選択する必要があります。

AWS Organizations で定義されたアカウントのリソースデータ同期を作成するには、次のコマンドを実行します。amzn-s3-demo-bucket には、このトピックで先ほど作成した Amazon S3 バケットの名前を指定します。バケットのプレフィックス (サブディレクトリ) を作成した場合は、[prefix-name] にこの情報を指定します。

aws ssm create-resource-data-sync --sync-name name --s3-destination "BucketName=amzn-s3-demo-bucket,Prefix=prefix-name,SyncFormat=JsonSerDe,Region=AWS リージョン, for example us-east-2,DestinationDataSharing={DestinationDataSharingType=Organization}"

中央の Amazon S3 バケットにデータを同期する AWS リージョン と AWS アカウント ごとに、ステップ 2 と 3 を繰り返します。

AWS Systems Manager コンソール (https://console.aws.amazon.com/systems-manager/) を開きます。

ナビゲーションペインで、[Fleet Manager] を選択します。

[リソースデータの同期] メニューで、[アカウント管理] ドロップダウンを選択します。

テーブルからリソースデータの同期を選択し、[詳細の表示] を選択すると、リソースデータの同期に関する情報が表示されます。

AWS Systems Manager コンソール (https://console.aws.amazon.com/systems-manager/) を開きます。

ナビゲーションペインで、[Fleet Manager] を選択します。

[リソースデータの同期] メニューで、[アカウント管理] ドロップダウンを選択します。

テーブルからリソースデータの同期を選択し、[削除] を選択します。