AWS の AWS Systems Manager マネージドポリシー

AWS マネージドポリシーは、AWS が作成および管理するスタンドアロンポリシーです。AWS マネージドポリシーは、多くの一般的なユースケースでアクセス許可を提供できるように設計されているため、ユーザー、グループ、ロールへのアクセス許可の割り当てを開始できます。

AWS マネージドポリシーは、ご利用の特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることにご注意ください。これは、すべての AWS ユーザーが使用できるようになるのを避けるためです。ユースケースに固有のカスタマー管理ポリシーを定義して、アクセス許可を絞り込むことをお勧めします。

AWS マネージドポリシーで定義されたアクセス許可は変更できません。AWS が AWS マネージドポリシーに定義されている権限を更新すると、更新はポリシーがアタッチされているすべてのプリンシパルアイデンティティ (ユーザー、グループ、ロール) に影響します。新しい AWS のサービス を起動するか、既存のサービスで新しい API オペレーションが使用可能になると、AWS が AWS マネージドポリシーを更新する可能性が最も高くなります。

詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」を参照してください。

AWS 管理ポリシー: AmazonSSMServiceRolePolicy

このポリシーを使用すると、AWS Systems Manager によって管理されているか、Systems Manager オペレーションで使用されている数多くの AWS リソースにアクセスできます。

AWS Identity and Access Management (IAM) エンティティに AmazonSSMServiceRolePolicy をアタッチすることはできません。このポリシーは、ユーザーに代わって AWS Systems Manager がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「ロールを使用してインベントリの収集と OpsData の表示を行う」を参照してください。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonSSMServiceRolePolicy」を参照してください。

AWS マネージドポリシー: AmazonSSMReadOnlyAccess

AmazonSSMReadOnlyAccess ポリシーを IAM アイデンティティにアタッチできます。このポリシーは、Describe*、Get*、List* など、AWS Systems Manager API オペレーションへの読み取り専用アクセスを許可します。

JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonSSMReadOnlyAccess」を参照してください。

AWS マネージドポリシー: AWSSystemsManagerOpsDataSyncServiceRolePolicy

IAM エンティティに AWSSystemsManagerOpsDataSyncServiceRolePolicy をアタッチすることはできません。このポリシーは、ユーザーに代わって Systems Manager がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「ロールを使用して、Explorer の OpsData および OpsItems を作成」を参照してください。

AWSSystemsManagerOpsDataSyncServiceRolePolicy では、AWSServiceRoleForSystemsManagerOpsDataSync サービスリンクロールは AWS Security Hub の結果から OpsItems と OpsData を作成して更新できます。

ポリシーでは、Systems Manager がすべての関連リソース ("Resource": "*") に対して、以下のアクションを実行できます。ただし、後述しているような例外があります。

[1] ssm:GetOpsItem および ssm:UpdateOpsItem のアクションは以下の条件でのみ Systems Manager のサービスに許可されます。

"Condition": {
    "StringEquals": {
        "aws:ResourceTag/ExplorerSecurityHubOpsItem": "true"
    }
}

[2] ssm:AddTagsToResource アクションは以下のリソースにのみ許可されます。

arn:aws:ssm:*:*:opsitem/*

[3] ssm:UpdateServiceSetting および ssm:GetServiceSetting アクションは以下のリソースにのみ許可されます。

arn:aws:ssm:*:*:servicesetting/ssm/opsitem/*
arn:aws:ssm:*:*:servicesetting/ssm/opsdata/*

[4] securityhub:BatchUpdateFindings は以下の条件でのみ、Systems Manager のサービスへのアクセス許可が拒否されます。

{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"securityhub:ASFFSyntaxPath/Workflow.Status": "SUPPRESSED"
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Confidence": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Criticality": false
				}
			}
		},		
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Note.Text": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Note.UpdatedBy": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/RelatedFindings": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Types": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/UserDefinedFields.key": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/UserDefinedFields.value": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/VerificationState": false
				}
			}

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSSystemsManagerOpsDataSyncServiceRolePolicy」を参照してください。

AWS マネージドポリシー: AmazonSSMManagedEC2InstanceDefaultPolicy

Systems Manager 機能を使用するアクセス許可が必要な Amazon EC2 インスタンスの IAM ロールにのみ AmazonSSMManagedEC2InstanceDefaultPolicy をアタッチする必要があります。このロールは、IAM ユーザーや IAM グループなど、他の IAM エンティティや、他の目的を果たす IAM ロールにはアタッチしないでください。詳細については、「Default Host Management Configuration を使用した EC2 インスタンスの自動管理」を参照してください。

このポリシーは、さまざまなタスクを実行するために、Amazon EC2 インスタンス上の SSM Agent がクラウド内の Systems Manager サービスと通信することを可能にする許可を付与します。また、認可トークンを提供する 2 つのサービスの許可を付与して、オペレーションが正しいインスタンスで実行されることも確実にします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

ssmmessages および ec2messages エンドポイントに関連する情報 (2 つのエンドポイント間の違いなど) については、「エージェント関連の API オペレーション (ssmmessages および ec2messages エンドポイント）」を参照してください。

JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonSSMManagedEC2InstanceDefaultPolicy」を参照してください。

AWS マネージドポリシー: SSMQuickSetupRolePolicy

SSMQuickSetupRolePolicy を IAM エンティティにアタッチすることはできません。このポリシーは、ユーザーに代わって Systems Manager がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「ロールを使用して Quick Setup によってプロビジョニングされたリソースの正常性と一貫性を維持する」を参照してください。

このポリシーは、Systems Manager が設定の正常性をチェックし、パラメータとプロビジョニングされたリソースが確実に一貫して使用されるようにするとともに、ドリフトが検出された場合にリソースを修復することを許可する読み取り専用許可を付与します。また、サービスリンクロールを作成するための管理アクセス許可も付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「AWS マネージドポリシーリファレンスガイド」の「SSMQuickSetupRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupDeploymentRolePolicy

マネージドポリシー AWSQuickSetupDeploymentRolePolicy は複数の Quick Setup 設定タイプをサポートします。これらの設定タイプは、推奨されるベストプラクティスを使用して、頻繁に使用される Amazon Web Services のサービスと機能を設定する IAM ロールとオートメーションを作成します。

IAM エンティティに AWSQuickSetupDeploymentRolePolicy をアタッチできます。

このポリシーは、次の Quick Setup 設定に関連付けられたリソースを作成するために必要な管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupDeploymentRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupPatchPolicyDeploymentRolePolicy

マネージドポリシー AWSQuickSetupPatchPolicyDeploymentRolePolicy は Quick Setup を使用して組織内のインスタンスのためにパッチ適用を設定する Quick Setup タイプをサポートします。この設定タイプは、単一のアカウント内または組織全体でアプリケーションとノードのパッチ適用を自動化するのに役立ちます。

AWSQuickSetupPatchPolicyDeploymentRolePolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

このポリシーは、Quick Setup がパッチポリシー設定に関連付けられたリソースを作成することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupPatchPolicyDeploymentRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupPatchPolicyBaselineAccess

マネージドポリシー AWSQuickSetupPatchPolicyBaselineAccess は Quick Setup を使用して組織内のインスタンスのためにパッチ適用を設定する Quick Setup タイプをサポートします。この設定タイプは、単一のアカウント内または組織全体でアプリケーションとノードのパッチ適用を自動化するのに役立ちます。

AWSQuickSetupPatchPolicyBaselineAccess を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

このポリシーは、現在の AWS アカウント または組織内の管理者が Quick Setup を使用して設定したパッチベースラインにアクセスするための読み取り専用許可を付与します。パッチベースラインは Amazon S3 バケットに保存され、単一のアカウントまたは組織全体のインスタンスへのパッチ適用に使用できます。

アクセス許可の詳細

このポリシーには、次の許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupPatchPolicyBaselineAccess」を参照してください。

AWS マネージドポリシー: AWSSystemsManagerEnableExplorerExecutionPolicy

マネージドポリシー AWSSystemsManagerEnableExplorerExecutionPolicy は AWS Systems Manager のツールである Explorer の有効化をサポートします。

AWSSystemsManagerEnableExplorerExecutionPolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

このポリシーは、Explorer を有効にするための管理許可を付与します。これには、関連する Systems Manager サービス設定を更新し、Systems Manager のためにサービスにリンクされたロールを作成する許可が含まれます。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSSystemsManagerEnableExplorerExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSSystemsManagerEnableConfigRecordingExecutionPolicy

マネージドポリシー AWSSystemsManagerEnableConfigRecordingExecutionPolicy は Quick Setup を使用して AWS Config 設定レコーダーを作成する Quick Setup 設定タイプをサポートします。この設定タイプを使用すると、AWS Config のために選択した AWS リソースタイプに対する変更を追跡および記録するよう Quick Setup を有効にできます。また、記録されたデータの配信および通知オプションを設定するよう Quick Setup を有効にすることもできます。

AWSSystemsManagerEnableConfigRecordingExecutionPolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

このポリシーは、Quick Setup が AWS Config 設定記録を有効にして設定することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSSystemsManagerEnableConfigRecordingExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupDevOpsGuruPermissionsBoundary

マネージドポリシー AWSQuickSetupDevOpsGuruPermissionsBoundary は Quick Setup を使用して DevOps Guru をセットアップする タイプをサポートします。この設定タイプにより、機械学習を活用した Amazon DevOps Guru が有効になります。DevOps Guru サービスは、アプリケーションの運用パフォーマンスと可用性の向上に役立ちます。

Quick Setup を使用して AWSQuickSetupDevOpsGuruPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が Amazon DevOps Guru を有効にして設定するのを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupDevOpsGuruPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupDistributorPermissionsBoundary

マネージドポリシー AWSQuickSetupDistributorPermissionsBoundary は Quick Setup を使用して Distributor パッケージをデプロイする Quick Setup 設定タイプをサポートします。この設定タイプは、AWS Systems Manager のツールである Distributor を使用して、エージェントなどのソフトウェアパッケージの Amazon Elastic Compute Cloud (Amazon EC2) インスタンスへの配布の有効化をサポートします。

Quick Setup を使用して AWSQuickSetupDistributorPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、ディストリビューターを使用した、エージェントなどのソフトウェアパッケージの Amazon EC2 インスタンスへの配布を Quick Setup が有効にすることを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupDistributorPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupSSMHostMgmtPermissionsBoundary

マネージドポリシー AWSQuickSetupSSMHostMgmtPermissionsBoundary は Quick Setup を使用して Amazon EC2 ホスト管理を設定する Quick Setup 設定タイプをサポートします。この設定タイプは、IAM ロールを設定し、一般的に使用される Systems Manager のツールを有効にして、Amazon EC2 インスタンスを安全に管理します。

Quick Setup を使用して AWSQuickSetupSSMHostMgmtPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が EC2 インスタンスを安全に管理するために必要な Systems Manager のツールを有効にして設定することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupSSMHostMgmtPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupPatchPolicyPermissionsBoundary

マネージドポリシー AWSQuickSetupPatchPolicyPermissionsBoundary は Quick Setup を使用して組織内のインスタンスのためにパッチ適用を設定する Quick Setup タイプをサポートします。この設定タイプは、単一のアカウント内または組織全体でアプリケーションとノードのパッチ適用を自動化するのに役立ちます。

Quick Setup を使用して AWSQuickSetupPatchPolicyPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が AWS Systems Manager のツールである Patch Manager でパッチポリシーを有効にして設定することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupPatchPolicyPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupSchedulerPermissionsBoundary

マネージドポリシー AWSQuickSetupSchedulerPermissionsBoundary は Quick Setup を使用してスケジュールに従って EC2 インスタンスを自動的に停止および起動する Quick Setup 設定タイプをサポートします。この設定タイプを使用すると、指定した時刻に EC2 インスタンスや他のリソースを停止および起動できます。

Quick Setup を使用して AWSQuickSetupSchedulerPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が EC2 インスタンスや他のリソースでスケジュールされたオペレーションを有効にして設定することを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupSchedulerPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWSQuickSetupCFGCPacksPermissionsBoundary

マネージドポリシー AWSQuickSetupCFGCPacksPermissionsBoundary は Quick Setup を使用して AWS Config 適合パックをデプロイする Quick Setup 設定タイプをサポートします。この設定タイプは、AWS Config 適合パックをデプロイします。適合パックは、単一のエンティティとしてデプロイできる AWS Config ルールと修復アクションをまとめたものです。

Quick Setup を使用して AWSQuickSetupCFGCPacksPermissionsBoundary 設定を作成すると、システムはこのアクセス許可の境界を、設定のデプロイ時に作成される IAM ロールに適用します。アクセス許可の境界により、Quick Setup が作成するロールの範囲が制限されます。

このポリシーは、Quick Setup が AWS Config 適合パックをデプロイすることを許可する管理許可を付与します。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupCFGCPacksPermissionsBoundary」を参照してください。

AWS マネージドポリシー: AWS-SSM-DiagnosisAutomation-AdministrationRolePolicy

ポリシー AWS-SSM-DiagnosisAutomation-AdministrationRolePolicy では、ノードが管理されているアカウントとリージョンで Automation ワークフローを開始することで、Systems Manager サービスとやり取りするノードの問題を診断するためのアクセス許可を付与できます。

AWS-SSM-DiagnosisAutomation-AdministrationRolePolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わって診断アクションを実行することを許可するサービスロールをこのポリシーにアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWS-SSM-DiagnosisAutomation-AdministrationRolePolicy」を参照してください。

AWS マネージドポリシー: AWS-SSM-DiagnosisAutomation-ExecutionRolePolicy

マネージドポリシー AWS-SSM-DiagnosisAutomation-ExecutionRolePolicy では、ターゲットの AWS アカウントとリージョンで Automation ランブックを実行して、Systems Manager サービスとやり取りするマネージドノードの問題を診断するための管理アクセス許可を付与できます。

AWS-SSM-DiagnosisAutomation-ExecutionRolePolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWS-SSM-DiagnosisAutomation-ExecutionRolePolicy」を参照してください。

AWS マネージドポリシー: AWS-SSM-RemediationAutomation-AdministrationRolePolicy

マネージドポリシー AWS-SSM-RemediationAutomation-AdministrationRolePolicy では、ノードを管理しているアカウントとリージョンで Automation ワークフローを開始することにより、Systems Manager サービスとやり取りするマネージドノードの問題を修復するためのアクセス許可を付与できます。

このポリシーを IAM エンティティにアタッチできます。Systems Manager は、Systems Manager がユーザーに代わって修復アクションを実行することを許可するサービスロールにも、このポリシーをアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWS-SSM-RemediationAutomation-AdministrationRolePolicy」を参照してください。

AWS マネージドポリシー: AWS-SSM-RemediationAutomation-ExecutionRolePolicy

マネージドポリシー AWS-SSM-RemediationAutomation-ExecutionRolePolicy では、特定のターゲットアカウントとリージョンで Automation ランブックを実行して、Systems Manager サービスとやり取りするマネージドノードの問題を修復するためのアクセス許可を付与できます。

このポリシーを IAM エンティティにアタッチできます。Systems Manager は、Systems Manager がユーザーに代わって修復アクションを実行することを許可するサービスロールにも、このポリシーをアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWS-SSM-RemediationAutomation-ExecutionRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupSSMManageResourcesExecutionPolicy

このポリシーは、Quick Setup が AWSQuickSetupType-SSM-SetupResources Automation ランブックを実行することを許可するアクセス許可を付与します。このランブックは Quick Setup 関連付けの IAM ロールを作成し、関連付けは AWSQuickSetupType-SSM のデプロイによって作成されます。また、Quick Setup 削除オペレーション時に関連する Amazon S3 バケットをクリーンアップするためのアクセス許可も付与します。

このポリシーを IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わってアクションを実行することを許可するサービスロールをこのポリシーにアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupSSMManageResourcesExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupSSMLifecycleManagementExecutionPolicy

AWSQuickSetupSSMLifecycleManagementExecutionPolicy ポリシーは、Systems Manager に Quick Setup をデプロイする際にライフサイクルイベントに対して AWS CloudFormation カスタムリソースを実行することを Quick Setup に許可する管理アクセス許可を付与します。

このポリシーを IAM エンティティにアタッチできます。Systems Manager は、Systems Manager がユーザーに代わってアクションを実行することを許可するサービスロールにも、このポリシーをアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupSSMLifecycleManagementExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupSSMDeploymentRolePolicy

マネージドポリシー AWSQuickSetupSSMDeploymentRolePolicy は、Systems Manager のオンボーディングプロセス時に使用されるリソースの作成を Quick Setup に許可する管理アクセス許可を付与します。

このポリシーを IAM エンティティに手動でアタッチすることもできますがお勧めしません。Quick Setup は、ユーザーに代わってアクションを実行することを Systems Manager に許可するサービスロールにこのポリシーをアタッチするエンティティを作成します。

このポリシーは、SSMQuickSetupRolePolicy ポリシーとは関係ありません。これは、AWSServiceRoleForSSMQuickSetup サービスリンクロールにアクセス許可を付与するために使用するポリシーです。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupSSMDeploymentRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupSSMDeploymentS3BucketRolePolicy

AWSQuickSetupSSMDeploymentS3BucketRolePolicy ポリシーは、アカウント内のすべての S3 バケットをリストするためのアクセス許可と、プリンシパルアカウントで AWS CloudFormation テンプレートを使用して管理される特定のバケットに関する情報を管理および取得するためのアクセス許可を付与します。

AWSQuickSetupSSMDeploymentS3BucketRolePolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupSSMDeploymentS3BucketRolePolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupEnableDHMCExecutionPolicy

このポリシーは、プリンシパルが AWSQuickSetupType-EnableDHMC Automation ランブックを実行してデフォルトのホスト管理設定を有効にすることを許可する管理アクセス許可を付与します。デフォルトのホスト管理設定では、Systems Manager が Amazon EC2 インスタンスをマネージドインスタンスとして自動的に管理できます。マネージドインスタンスとは、Systems Manager で使用するために設定された EC2 インスタンスです。このポリシーは、Systems Manager サービス設定に SSM Agent のデフォルトのロールとして指定されている IAM ロールを作成するためのアクセス許可も付与します。

AWSQuickSetupEnableDHMCExecutionPolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupEnableDHMCExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupEnableAREXExecutionPolicy

このポリシーは、AWSQuickSetupType-EnableAREX Automation ランブックを実行して Systems Manager で AWS Resource Explorer を使用できるようにすることを Systems Manager に許可する管理アクセス許可を付与します。Resource Explorer を使用すると、インターネット検索エンジンと似た検索エクスペリエンスでアカウントのリソースを表示できます。このポリシーは、Resource Explorer のインデックスとビューを管理するためのアクセス許可も付与します。

AWSQuickSetupEnableAREXExecutionPolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupEnableAREXExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupManagedInstanceProfileExecutionPolicy

このポリシーは、Quick Setup ツールのデフォルトの IAM インスタンスプロファイルを作成して、まだインスタンスプロファイルがアタッチされていない Amazon EC2 インスタンスにアタッチすることを Systems Manager に許可する管理アクセス許可を付与します。このポリシーは、既存のインスタンスプロファイルにアクセス許可をアタッチする機能も Systems Manager に付与します。その目的は、Systems Manager が EC2 インスタンス上の SSM Agent と通信するために必要なアクセス許可を確実に付与することです。

AWSQuickSetupManagedInstanceProfileExecutionPolicy を IAM エンティティにアタッチできます。Systems Manager はまた、Systems Manager がユーザーに代わりアクションを実行することを可能にするサービスロールをこのポリシーにアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupManagedInstanceProfileExecutionPolicy」を参照してください。

AWS マネージドポリシー: AWSQuickSetupFullAccess

このポリシーは、AWS Management Consoleおよび AWS SDK 内の AWS Systems Manager Quick Setup API アクションとデータへのフルアクセスと、Quick Setup オペレーションに必要な他の AWS のサービスリソースへの制限付きアクセスを許可する管理アクセス許可を付与します。

AWSQuickSetupFullAccess ポリシーを IAM アイデンティティにアタッチできます。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupFullAccess」を参照してください。

AWS マネージドポリシー: AWSQuickSetupReadOnlyAccess

このポリシーは、Quick Setup オペレーションに必要な他の AWS のサービスリソースからの情報など、プリンシパルが AWS Systems Manager Quick Setup データとレポートを表示することを許可する読み取り専用アクセス許可を付与します。

AWSQuickSetupReadOnlyAccess ポリシーを IAM アイデンティティにアタッチできます。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSQuickSetupReadOnlyAccess」を参照してください。

AWS マネージドポリシー: AWS-SSM-Automation-DiagnosisBucketPolicy

マネージドポリシー AWS-SSM-Automation-DiagnosisBucketPolicy では、問題の診断と修復に使用される S3 バケットにアクセスして、AWS Systems Manager サービスとやり取りするノードの問題を診断するためのアクセス許可を付与できます。

AWS-SSM-Automation-DiagnosisBucketPolicy ポリシーを IAM アイデンティティにアタッチできます。Systems Manager は、ユーザーに代わって診断アクションを実行することを許可する IAM ロールにもこのポリシーをアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWS-SSM-Automation-DiagnosisBucketPolicy」を参照してください。

AWS マネージドポリシー: AWS-SSM-RemediationAutomation-OperationalAccountAdministrationRolePolicy

マネージドポリシー AWS-SSM-RemediationAutomation-OperationalAccountAdministrationRolePolicy では、組織固有のアクセス許可を提供することで、ノードの問題を診断するためのアクセス許可を運用アカウントに付与できます。

AWS-SSM-RemediationAutomation-OperationalAccountAdministrationRolePolicy を IAM ID にアタッチできます。Systems Manager は、ユーザーに代わって診断アクションを実行することを許可する IAM ロールにもこのポリシーをアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWS-SSM-RemediationAutomation-OperationalAccountAdministrationRolePolicy」を参照してください。

AWS マネージドポリシー: AWS-SSM-DiagnosisAutomation-OperationalAccountAdministrationRolePolicy

マネージドポリシー AWS-SSM-DiagnosisAutomation-OperationalAccountAdministrationRolePolicy では、組織固有のアクセス許可を提供することで、ノードの問題を診断するためのアクセス許可を運用アカウントに付与できます。

AWS-SSM-DiagnosisAutomation-OperationalAccountAdministrationRolePolicy ポリシーを IAM アイデンティティにアタッチできます。Systems Manager は、ユーザーに代わって診断アクションを実行することを許可する IAM ロールにもこのポリシーをアタッチします。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWS-SSM-DiagnosisAutomation-OperationalAccountAdministrationRolePolicy」を参照してください。

AWS マネージドポリシーの Systems Manager 更新

以下の表には、このサービスによりこれらの変更の追跡が開始された 2021 年 3 月 12 日以降に行われた Systems Manager 用 AWS マネージドポリシーに対する更新の詳しい説明が記載されています。Systems Manager サービスの他のマネージドポリシーについては、このトピックの後半の「Systems Manager 用の追加のマネージドポリシー」を参照してください。このページの変更に関する自動通知については、[Systems Manager ドキュメント履歴] ページの RSS フィードを購読してください。

Systems Manager 用の追加のマネージドポリシー

Systems Manager では、このトピックで前述したマネージドポリシーに加えて、次のポリシーもサポートされています。