Systems Manager に必要なインスタンスのアクセス許可を設定する

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで ポリシーを選択してから ポリシーの作成を選択します。

[JSON] タブを選択し、デフォルトのテキストを次に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::aws-ssm-region/*",
                "arn:aws:s3:::aws-windows-downloads-region/*",
                "arn:aws:s3:::amazon-ssm-region/*",
                "arn:aws:s3:::amazon-ssm-packages-region/*",
                "arn:aws:s3:::region-birdwatcher-prod/*",
                "arn:aws:s3:::aws-ssm-distributor-file-region/*",
                "arn:aws:s3:::aws-ssm-document-attachments-region/*",
                "arn:aws:s3:::patch-baseline-snapshot-region/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl", 
                "s3:GetEncryptionConfiguration" 
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*",
                "arn:aws:s3:::amzn-s3-demo-bucket" 
            ]
        }
    ]
}

¹ 最初の Statement エレメントは、VPC エンドポイントを使用する場合にのみ必要です。

² 2 番目の Statement エレメントは、Systems Manager オペレーションで使用するために作成した S3 バケットを使用する場合にのみ必要です。

³ PutObjectAcl アクセスコントロールリストは、他のアカウントで S3 バケットへのクロスアカウントアクセスをサポートする場合にのみ必要です。

⁴ S3 バケットが暗号化を使用するように設定されている場合、GetEncryptionConfiguration エレメントが必要です。

⁵ S3 バケットが暗号化を使用するように設定されている場合、S3 バケットのルート (例: arn:aws:s3:::amzn-s3-demo-bucket) が [リソース] セクションに表示されている必要があります。ユーザー、グループ、またはロールに、ルートバケットへのアクセスを設定する必要があります。

オペレーションで VPC エンドポイントを使用する場合は、以下の操作を行います。

最初の Statement エレメントで、region の各プレースホルダーを、このポリシーが使用される AWS リージョン の識別子に置き換えます。例えば、米国東部 (オハイオ) リージョンの場合は、us-east-2 を使用します。サポートされている region 値の一覧については、「Amazon Web Services 全般のリファレンス」の「Systems Manager サービスエンドポイント」にある Region 列を参照してください。

-または-

オペレーションで VPC エンドポイントを使用しない場合は、最初の Statement エレメントは削除することができます。

Systems Manager オペレーションで独自の S3 バケットを使用する場合は、以下の操作を行います。

2 つめの Statement エレメントで、amzn-s3-demo-bucket をアカウント内の S3 バケットの名前に置き換えます。このバケットは、Systems Manager のオペレーションに使用します。バケットのオブジェクトにアクセス許可を付与します。この際、"arn:aws:s3:::my-bucket-name/*" をリソースとして使用します。バケット、またはバケットのオブジェクトに許可を付与する方法については、Amazon Simple Storage Service ユーザーガイドのトピック「Amazon S3 アクション」および AWS ブログ記事「IAM ポリシーとバケットポリシーと ACL!」を参照してください。Oh, My! (Controlling Access to S3 Resources)。

"Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket1/*",
"arn:aws:s3:::amzn-s3-demo-bucket2/*"
               ]

-または-

Systems Manager オペレーションで独自の S3 バケットを使用していない場合は、2 つめの Statement エレメントは削除できます。

[Next: Tags] (次へ: タグ) を選択します。

(オプション) [Add tag] (タグを追加) を選択してタグを追加し、ポリシーの優先タグを入力します。

[次へ: レビュー] を選択します。

[Name] (名前) に、このポリシーを識別するための名前 (SSMInstanceProfileS3Policy など) を入力します。

[Create policy] を選択します。

AWS Management Console にサインインし、Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

ナビゲーションペインで、[Instances] の下にある [Instances] を選択します。

リストから EC2 インスタンスに移動して選択します。

[アクション] メニューで、[セキュリティ]、[IAM ロールの変更] の順に選択します。

[IAM ロール] で、EC2 インスタンスのアクセス許可の代替設定 の手順に従って作成したインスタンスプロファイルを選択します。

[Update IAM role] (IAM ロールの更新) を選択します。