AWS の AWS Systems Manager マネージドポリシー

AWS マネージドポリシーは、AWS が作成および管理するスタンドアロンポリシーです。AWS マネージドポリシーは、多くの一般的なユースケースでアクセス許可を提供できるように設計されているため、ユーザー、グループ、ロールへのアクセス許可の割り当てを開始できます。

AWS マネージドポリシーは、ご利用の特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることにご注意ください。AWSのすべてのお客様が使用できるようになるのを避けるためです。ユースケース別にカスタマーマネージドポリシーを定義して、マネージドポリシーを絞り込むことをお勧めします。

AWS マネージドポリシーで定義したアクセス権限は変更できません。AWS が AWS マネージドポリシーに定義されている権限を更新すると、更新はポリシーがアタッチされているすべてのプリンシパルアイデンティティ (ユーザー、グループ、ロール) に影響します。新しい AWS のサービス を起動するか、既存のサービスで新しい API オペレーションが使用可能になると、AWS が AWS マネージドポリシーを更新する可能性が最も高くなります。

詳細については、「IAM ユーザーガイド」の「AWS 管理ポリシー」を参照してください。

AWS 管理ポリシー: AmazonSSMServiceRolePolicy

AWS Identity and Access Management (IAM) エンティティに AmazonSSMServiceRolePolicy をアタッチすることはできません。このポリシーは、ユーザーに代わって AWS Systems Manager がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「ロールを使用してインベントリの収集と OpsData の表示を行う」を参照してください。

AmazonSSMServiceRolePolicy では、Systems Manager がすべての関連リソース ("Resource": "*") に対して、以下のアクションを実行できます。ただし、後述しているような例外があります。

[1] ssm:UpdateServiceSetting および ssm:GetServiceSetting アクションは以下のリソースにのみ許可されます。

arn:aws:ssm:*:*:servicesetting/ssm/opsitem/*
arn:aws:ssm:*:*:servicesetting/ssm/opsdata/*

[2] lambda:InvokeFunction アクションは以下のリソースにのみ許可されます。

arn:aws:lambda:*:*:function:SSM*
arn:aws:lambda:*:*:function:*:SSM*

[3] states: アクションは以下のリソースにのみ許可されます。

arn:aws:states:*:*:stateMachine:SSM*
arn:aws:states:*:*:execution:SSM*

[4] iam:PassRole アクションは以下の条件でのみ Systems Manager のサービスに許可されます。

"Condition": {
   "StringEquals": {
      "iam:PassedToService": [
         "ssm.amazonaws.com"
      ]
   }
}

[5] cloudformation:ListStackInstances、cloudformation:DescribeStackSetOperation、cloudformation:DeleteStackSet アクションは以下のリソースにのみ許可されます。

arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-SSM*:*

[6] cloudformation:DeleteStackInstances アクションは以下のリソースにのみ許可されます。

arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-SSM*:*
arn:aws:cloudformation:*:*:stackset-target/AWS-QuickSetup-SSM*:*
arn:aws:cloudformation:*:*:type/resource/*

[7] events:PutRule および events:PutTargets アクションは以下の条件でのみ Systems Manager のサービスに許可されます。

"Condition": {
    "StringEquals": {
        "events:ManagedBy": "ssm.amazonaws.com"
    }
}

[8] events:RemoveTargets、events:DeleteRule アクションは以下のリソースにのみ許可されます。

arn:aws:events:*:*:rule/SSMExplorerManagedRule

JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonSSMServiceRolePolicy」を参照してください。

AWS マネージドポリシー: AmazonSSMReadOnlyAccess

AmazonSSMReadOnlyAccess ポリシーは IAM ID にアタッチできます。このポリシーは、Describe*、Get*、List* など、AWS Systems Manager API オペレーションへの読み取り専用アクセスを許可します。

JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonSSMReadOnlyAccess」を参照してください。

AWS マネージドポリシー: AWSSystemsManagerOpsDataSyncServiceRolePolicy

IAM エンティティに AWSSystemsManagerOpsDataSyncServiceRolePolicy をアタッチすることはできません。このポリシーは、ユーザーに代わって Systems Manager がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「ロールを使用して、Explorer の OpsData および OpsItems を作成」を参照してください。

AWSSystemsManagerOpsDataSyncServiceRolePolicy では、AWSServiceRoleForSystemsManagerOpsDataSync サービスリンクロールは AWS Security Hub の結果から OpsItems と OpsData を作成して更新できます。

ポリシーでは、Systems Manager がすべての関連リソース ("Resource": "*") に対して、以下のアクションを実行できます。ただし、後述しているような例外があります。

[1] ssm:GetOpsItem および ssm:UpdateOpsItem のアクションは以下の条件でのみ Systems Manager のサービスに許可されます。

"Condition": {
    "StringEquals": {
        "aws:ResourceTag/ExplorerSecurityHubOpsItem": "true"
    }
}

[2] ssm:AddTagsToResource アクションは以下のリソースにのみ許可されます。

arn:aws:ssm:*:*:opsitem/*

[3] ssm:UpdateServiceSetting および ssm:GetServiceSetting アクションは以下のリソースにのみ許可されます。

arn:aws:ssm:*:*:servicesetting/ssm/opsitem/*
arn:aws:ssm:*:*:servicesetting/ssm/opsdata/*

[4] securityhub:BatchUpdateFindings は以下の条件でのみ、Systems Manager のサービスへのアクセス許可が拒否されます。

{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"securityhub:ASFFSyntaxPath/Workflow.Status": "SUPPRESSED"
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Confidence": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Criticality": false
				}
			}
		},		
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Note.Text": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Note.UpdatedBy": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/RelatedFindings": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Types": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/UserDefinedFields.key": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/UserDefinedFields.value": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/VerificationState": false
				}
			}

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSSystemsManagerOpsDataSyncServiceRolePolicy」を参照してください。

AWS マネージドポリシー: AmazonSSMManagedEC2InstanceDefaultPolicy

Systems Manager 機能を使用するアクセス許可が必要な Amazon EC2 インスタンスの IAM ロールにのみ AmazonSSMManagedEC2InstanceDefaultPolicy をアタッチする必要があります。このロールは、IAM ユーザーや IAM グループなど、他の IAM エンティティや、他の目的を果たす IAM ロールにはアタッチしないでください。詳細については、「Default Host Management Configuration を使用した EC2 インスタンスの自動管理」を参照してください。

このポリシーは、さまざまなタスクを実行するために、Amazon EC2 インスタンス上の SSM Agent がクラウド内の Systems Manager サービスと通信することを可能にする許可を付与します。また、認可トークンを提供する 2 つのサービスの許可を付与して、オペレーションが正しいインスタンスで実行されることも確実にします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

ssmmessages および ec2messages エンドポイントに関連する情報 (2 つのエンドポイント間の違いなど) については、「エージェント関連の API オペレーション (ssmmessages および ec2messages エンドポイント）」を参照してください。

JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonSSMManagedEC2InstanceDefaultPolicy」を参照してください。

AWS マネージドポリシー: SSMQuickSetupRolePolicy

SSMQuickSetupRolePolicy を IAM エンティティにアタッチすることはできません。このポリシーは、ユーザーに代わって Systems Manager がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「ロールを使用して Quick Setup によってプロビジョニングされたリソースの正常性と一貫性を維持する」を参照してください。

このポリシーは、Systems Manager が設定の正常性をチェックし、パラメータとプロビジョニングされたリソースが確実に一貫して使用されるようにするとともに、ドリフトが検出された場合にリソースを修復することを許可する読み取り専用許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「AWS マネージドポリシーリファレンスガイド」の「SSMQuickSetupRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupDeploymentRolePolicy

マネージドポリシー AWSQuickSetupDeploymentRolePolicy は複数の Quick Setup 設定タイプをサポートします。これらの設定タイプは、推奨されるベストプラクティスを使用して、頻繁に使用される Amazon Web Services のサービスと機能を設定する IAM ロールとオートメーションを作成します。

IAM エンティティに AWSQuickSetupDeploymentRolePolicy をアタッチできます。

このポリシーは、次の Quick Setup 設定に関連付けられたリソースを作成するために必要な管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupDeploymentRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupPatchPolicyDeploymentRolePolicy

マネージドポリシー AWSQuickSetupPatchPolicyDeploymentRolePolicy は Quick Setup を使用して組織内のインスタンスのためにパッチ適用を設定する Quick Setup タイプをサポートします。この設定タイプは、単一のアカウント内または組織全体でアプリケーションとノードのパッチ適用を自動化するのに役立ちます。

AWSQuickSetupPatchPolicyDeploymentRolePolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

このポリシーは、Quick Setup がパッチポリシー設定に関連付けられたリソースを作成することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupPatchPolicyDeploymentRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupPatchPolicyBaselineAccess

マネージドポリシー AWSQuickSetupPatchPolicyBaselineAccess は Quick Setup を使用して組織内のインスタンスのためにパッチ適用を設定する Quick Setup タイプをサポートします。この設定タイプは、単一のアカウント内または組織全体でアプリケーションとノードのパッチ適用を自動化するのに役立ちます。

AWSQuickSetupPatchPolicyBaselineAccess を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

このポリシーは、現在の AWS アカウント または組織内の管理者が Quick Setup を使用して設定したパッチベースラインにアクセスするための読み取り専用許可を付与します。パッチベースラインは Amazon S3 バケットに保存され、単一のアカウントまたは組織全体のインスタンスへのパッチ適用に使用できます。

許可の詳細

このポリシーには、次の許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupPatchPolicyBaselineAccess」を参照してください。

AWS マネージドポリシー: AWSSystemsManagerEnableExplorerExecutionPolicy

マネージドポリシー AWSSystemsManagerEnableExplorerExecutionPolicy は AWS Systems Manager の機能である Explorer の有効化をサポートします。

AWSSystemsManagerEnableExplorerExecutionPolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

このポリシーは、Explorer を有効にするための管理許可を付与します。これには、関連する Systems Manager サービス設定を更新し、Systems Manager のためにサービスにリンクされたロールを作成する許可が含まれます。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSSystemsManagerEnableExplorerExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSSystemsManagerEnableConfigRecordingExecutionPolicy

マネージドポリシー AWSSystemsManagerEnableConfigRecordingExecutionPolicy は Quick Setup を使用して AWS Config 設定レコーダーを作成する Quick Setup 設定タイプをサポートします。この設定タイプを使用すると、AWS Config のために選択した AWS リソースタイプに対する変更を追跡および記録するよう Quick Setup を有効にできます。また、記録されたデータの配信および通知オプションを設定するよう Quick Setup を有効にすることもできます。

AWSSystemsManagerEnableConfigRecordingExecutionPolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

このポリシーは、Quick Setup が AWS Config 設定記録を有効にして設定することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSSystemsManagerEnableConfigRecordingExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupDevOpsGuruPermissionsBoundary

マネージドポリシー AWSQuickSetupDevOpsGuruPermissionsBoundary は Quick Setup を使用して DevOps Guru をセットアップする タイプをサポートします。この設定タイプにより、機械学習を活用した Amazon DevOps Guru が有効になります。DevOps Guru サービスは、アプリケーションの運用パフォーマンスと可用性の向上に役立ちます。

Quick Setup を使用して AWSQuickSetupDevOpsGuruPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が Amazon DevOps Guru を有効にして設定するのを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupDevOpsGuruPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupDistributorPermissionsBoundary

マネージドポリシー AWSQuickSetupDistributorPermissionsBoundary は Quick Setup を使用して Distributor パッケージをデプロイする Quick Setup 設定タイプをサポートします。この設定タイプは、AWS Systems Manager の機能であるディストリビューターを使用して、エージェントなどのソフトウェアパッケージの Amazon Elastic Compute Cloud (Amazon EC2) インスタンスへの配布の有効化をサポートします。

Quick Setup を使用して AWSQuickSetupDistributorPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、ディストリビューターを使用した、エージェントなどのソフトウェアパッケージの Amazon EC2 インスタンスへの配布を Quick Setup が有効にすることを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupDistributorPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupSSMHostMgmtPermissionsBoundary

マネージドポリシー AWSQuickSetupSSMHostMgmtPermissionsBoundary は Quick Setup を使用して Amazon EC2 ホスト管理を設定する Quick Setup 設定タイプをサポートします。この設定タイプは、IAM ロールを設定し、一般的に使用される Systems Manager の機能を有効にして、Amazon EC2 インスタンスを安全に管理します。

Quick Setup を使用して AWSQuickSetupSSMHostMgmtPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が EC2 インスタンスを安全に管理するために必要な Systems Manager の機能を有効にして設定することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupSSMHostMgmtPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupPatchPolicyPermissionsBoundary

マネージドポリシー AWSQuickSetupPatchPolicyPermissionsBoundary は Quick Setup を使用して組織内のインスタンスのためにパッチ適用を設定する Quick Setup タイプをサポートします。この設定タイプは、単一のアカウント内または組織全体でアプリケーションとノードのパッチ適用を自動化するのに役立ちます。

Quick Setup を使用して AWSQuickSetupPatchPolicyPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が AWS Systems Manager の機能である Patch Manager でパッチポリシーを有効にして設定することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupPatchPolicyPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupSchedulerPermissionsBoundary

マネージドポリシー AWSQuickSetupSchedulerPermissionsBoundary は Quick Setup を使用してスケジュールに従って EC2 インスタンスを自動的に停止および起動する Quick Setup 設定タイプをサポートします。この設定タイプを使用すると、指定した時刻に EC2 インスタンスや他のリソースを停止および起動できます。

Quick Setup を使用して AWSQuickSetupSchedulerPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が EC2 インスタンスや他のリソースでスケジュールされたオペレーションを有効にして設定することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupSchedulerPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupCFGCPacksPermissionsBoundary

マネージドポリシー AWSQuickSetupCFGCPacksPermissionsBoundary は Quick Setup を使用して AWS Config 適合パックをデプロイする Quick Setup 設定タイプをサポートします。この設定タイプは、AWS Config 適合パックをデプロイします。適合パックは、単一のエンティティとしてデプロイできる AWS Config ルールと修復アクションをまとめたものです。

Quick Setup を使用して AWSQuickSetupCFGCPacksPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が AWS Config 適合パックをデプロイすることを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupCFGCPacksPermissionsBoundary」を参照してください。

AWS マネージドポリシーの Systems Manager 更新

以下の表には、このサービスによりこれらの変更の追跡が開始された 2021 年 3 月 12 日以降に行われた Systems Manager 用 AWS マネージドポリシーに対する更新の詳しい説明が記載されています。Systems Manager サービスの他のマネージドポリシーについては、このトピックの後半の「Systems Manager 用の追加のマネージドポリシー」を参照してください。このページの変更に関する自動通知については、[Systems Manager ドキュメント履歴] ページの RSS フィードを購読してください。

Systems Manager 用の追加のマネージドポリシー

Systems Manager では、このトピックで前述したマネージドポリシーに加えて、次のポリシーもサポートされています。