Amazon SNS 通知を使用した Systems Manager のステータス変更のモニタリング

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで、Policies を選択し、Create Policy を選択します。([Get Started] ボタンが表示された場合は、そのボタンを選択してから、[Create Policy] を選択します)。

[JSON] タブを選択します。

デフォルトコンテンツを以下のものと置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sns:Publish"
            ],
            "Resource": "arn:aws:sns:region:account-id:sns-topic-name"
        }
    ]
}

region は、米国東部 (オハイオ) リージョンの us-east-2 のように、AWS Systems Manager でサポートされている AWS リージョン の識別子を表します。サポートされている region 値の一覧については、「Amazon Web Services 全般のリファレンス」の「Systems Manager サービスエンドポイント」にある Region 列を参照してください。

account-id は、AWS アカウントの 12 桁の識別子を 123456789012 形式で表します。

sns-topic-name は、通知の発行に使用する Amazon SNS トピックの名前を表します。

[Next: Tags] (次へ: タグ) を選択します。

(オプション) 1 つ以上のタグキーと値のペアを追加して、このポリシーのアクセスを整理、追跡、または制御します。

[次へ: レビュー] を選択します。

[Review policy (ポリシーの確認)] ページで、[Name (名前)] にインラインポリシーの名前を入力します。例: my-sns-publish-permissions。

(オプション) [Description (説明)] に、ポリシーの説明を入力します。

[Create policy] を選択します。

AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

IAM コンソールのナビゲーションペインで、[ロール]、[ロールを作成] を選択します。

[AWS のサービス]、[Systems Manager] の順にクリックします。

[Systems Manager のユースケース] を選択します。[次へ] を選択します。

[Attach permissions policies (アクセス許可ポリシーのアタッチ)] ページで、タスク 2 で作成したカスタムポリシーの名前の左側にあるチェックボックスをオンにします。例: my-sns-publish-permissions。

(オプション) アクセス許可の境界を設定します。このアドバンスド機能は、サービスロールで使用できますが、サービスにリンクされたロールではありません。

[Permissions boundary] (アクセス許可の境界) セクションを展開し、[Use a permissions boundary to control the maximum role permissions] (アクセス許可の境界を使用して、ロールのアクセス許可の上限を設定する) を選択します。IAM には、あなたのアカウント内の AWS 管理ポリシーとカスタマー管理ポリシーのリストがあります。アクセス許可の境界に使用するポリシーを選択するか、[ポリシーを作成] を選択して新しいブラウザタブを開き、新しいポリシーをゼロから作成します。詳細については、『IAM ユーザーガイド』の「IAM ポリシーの作成」を参照してください。ポリシーを作成したら、そのタブを閉じて元のタブに戻り、アクセス許可の境界として使用するポリシーを選択します。

[Next] を選択します。

可能な場合は、このロールの目的を識別するのに役立つロール名またはロール名サフィックスを入力します。ロール名は AWS アカウント アカウント内で一意である必要があります。大文字と小文字は区別されません。例えば、PRODROLE と prodrole というロール名を両方作成することはできません。多くのエンティティによりロールが参照されるため、作成後にロール名を変更することはできません。

(オプション) [Description (説明)] には、新しいロールの説明を入力します。

[Step 1: Select trusted entities] (ステップ 1: 信頼済みエンティティの選択) または [Step 2: Select permissions] (ステップ 2: 権限の選択) のセクションで [Edit] (編集) を選択し、ロールのユースケースと権限を変更します。

(オプション) タグをキーバリューペアとしてアタッチして、メタデータをユーザーに追加します。IAM でのタグの使用に関する詳細については、「IAM ユーザーガイド」の「IAM リソースにタグを付ける」を参照してください。

ロール情報を確認し、ロールの作成 を選択します。

ロールの名前を選択してから、[Role ARN] (ロール ARN) 値をコピーまたはメモします。Amazon SNS 通知を返すように設定されたコマンドを送信するときに、ロールのこの Amazon リソースネーム (ARN) が使用されます。

[Summary (概要)] ページは開いたままにします。

IAM のナビゲーションペインで、[ユーザー] を選択し、設定するユーザーアカウントを選択します。

[Permissions (アクセス許可)] タブのポリシーリストで、AmazonSSMFullAccess ポリシーがリストにあるか、またはアカウントに Systems Manager へのアクセス許可を与える同等のポリシーがあるかどうかを確認します。

[Add inline policy (インラインポリシーの追加)] を選択します。

[Create policy (ポリシーの作成)] ページの [Visual editor (ビジュアルエディタ)] タブを選択します。

[Choose a service (サービスの選択)] を選んでから、[IAM] を選択します。

[Actions] (アクション) の場合は、[Filter actions] (フィルタアクション) テキストボックスに「PassRole」を入力し、[PassRole] の横にあるチェックボックスを選択します。

[Resources (リソース)] の場合は、[Specific (固有)] が選択されていることを確認し、[Add ARN (ARN の追加)] を選択します。

[Specify ARN for role (ロールの ARN の指定)] フィールドに、タスク 3 の終わりでコピーした Amazon SNS IAM ロールの ARN を貼り付けます。システムによって、[アカウント] と [Role name with path (ロール名とパス)] フィールドが自動的に入力されます。

[Add] (追加) をクリックします。

[Review policy (ポリシーの確認)] を選択します。

[Review Policy] (ポリシーの確認) ページに名前を入力し、[Create Policy] (ポリシーの作成) を選択します。

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで [Roles (ロール)] を選択し、タスク 3 で作成した Amazon SNS IAM ロールを選択します。

[Role ARN (ロールの ARN)] をコピー、または書き留めて、IAM コンソールの[Roles (ロール)] セクションに戻ります。

[Role name] (ロール名) リストから、作成したカスタム Maintenance Windows のサービスロールを選択します。

[Permissions] (許可) タブで、AmazonSSMMaintenanceWindowRole ポリシーが一覧に表示されていること、または Systems Manager API に対するメンテナンスウィンドウの許可を与える同等のポリシーがあることを確認します。付与されていない場合は、[アクセス許可をアタッチ、ポリシーをアタッチ] をクリックして、アタッチします。

[Add permissions, Create inline policy] (アクセス許可の追加、インラインポリシーの作成) を選択します。

[Visual Editor (ビジュアルエディタ)] タブを選択します。

[Service (サービス)] で、[IAM] を選択します。

[Actions] (アクション) の場合は、[Filter actions] (フィルタアクション) テキストボックスに「PassRole」を入力し、[PassRole] の横にあるチェックボックスを選択します。

[Resources (リソース)] で、[Specific (特定)]、[Add ARN (ARN の追加)] の順に選択します。

[Specify ARN for role (ロールの ARN を指定)] ボックスで、タスク 3 で作成した Amazon SNS IAM ロールの ARN を貼り付けて、[Add (追加)] を選択します。

[ポリシーの確認] を選択します。

[ポリシーの確認] ページで PassRole ポリシーの名前を入力し、[ポリシーの作成] をクリックします。