Systems Manager에 필요한 인스턴스 권한 구성

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

탐색 창에서 정책을 선택한 후 정책 생성을 선택합니다.

JSON 탭을 선택하고 기본 텍스트를 다음과 같이 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::aws-ssm-region/*",
                "arn:aws:s3:::aws-windows-downloads-region/*",
                "arn:aws:s3:::amazon-ssm-region/*",
                "arn:aws:s3:::amazon-ssm-packages-region/*",
                "arn:aws:s3:::region-birdwatcher-prod/*",
                "arn:aws:s3:::aws-ssm-distributor-file-region/*",
                "arn:aws:s3:::aws-ssm-document-attachments-region/*",
                "arn:aws:s3:::patch-baseline-snapshot-region/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl", 
                "s3:GetEncryptionConfiguration" 
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*",
                "arn:aws:s3:::amzn-s3-demo-bucket" 
            ]
        }
    ]
}

¹ 첫 번째 Statement 요소는 VPC 엔드포인트를 사용 중인 경우에만 필요합니다.

² 두 번째 Statement 요소는 Systems Manager 작업에서 사용하기 위해 생성한 S3 버킷을 사용 중인 경우에만 필요합니다.

³ PutObjectAcl 액세스 제어 목록 권한은 다른 계정에서 S3 버킷에 대한 교차 계정 액세스를 지원하려는 경우에만 필요합니다.

⁴ GetEncryptionConfiguration 요소는 암호화를 사용하기 위해 S3 버킷을 구성할 경우 필요합니다.

⁵ 암호화를 사용하기 위해 S3 버킷을 구성할 경우 S3 버킷 루트(예: arn:aws:s3:::amzn-s3-demo-bucket)가 리소스(Resource) 섹션에 있어야 합니다. 사용자, 그룹 또는 역할은 루트 버킷에 대한 액세스 권한을 사용하여 구성해야 합니다.

작업에 VPC 엔드포인트를 사용 중인 경우 다음을 수행합니다.

첫 번째 Statement 요소에서, 각 region 자리 표시자를 이 정책이 사용되는 AWS 리전의 식별자로 대체합니다. 예를 들어 미국 동부(오하이오) 리전의 경우 us-east-2를 사용합니다. 지원되는 리전 값 목록은 Amazon Web Services 일반 참조의 Systems Manager 서비스 엔드포인트에 있는 리전 열을 참조하세요.

-또는-

작업에서 VPC 엔드포인트를 사용하고 있지 않다면, 첫 번째 Statement 요소를 삭제할 수 있습니다.

Systems Manager 작업에 자체의 S3 버킷을 사용 중인 경우 다음을 수행합니다.

두 번째 Statement 요소에서, amzn-s3-demo-bucket을 계정에 있는 S3 버킷의 이름으로 대체합니다. 이 버킷은 Systems Manager 작업을 위해 사용되며, 리소스로 "arn:aws:s3:::my-bucket-name/*"을 사용하여 버킷의 객체에 대한 권한을 제공합니다. 버킷 또는 버킷의 객체에 대한 권한 제공에 대한 자세한 내용은 Amazon Simple Storage Service 개발자 안내서의 Amazon S3 작업 및 AWS 블로그 게시물 IAM 정책, 버킷 정책 및 ACLs!를 참조하세요. ACL (S3 리소스에 대한 액세스 제어).

"Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket1/*",
"arn:aws:s3:::amzn-s3-demo-bucket2/*"
               ]

-또는-

Systems Manager 작업에서 자체의 S3 버킷을 사용하고 있지 않다면 두 번째 Statement 요소를 삭제할 수 있습니다.

다음: 태그를 선택합니다.

(선택 사항) 태그 추가(Add tag)를 선택하고 정책에 대한 기본 설정 태그를 입력하여 태그를 추가합니다.

다음: 검토를 선택합니다.

이름(Name)에 이 정책을 식별할 수 있는 이름(예: SSMInstanceProfileS3Policy)을 입력합니다.

정책 생성을 선택합니다.

AWS Management Console에 로그인하고 https://console.aws.amazon.com/ec2/에서 Amazon EC2 콘솔을 엽니다.

탐색 창의 인스턴스에서 인스턴스를 선택합니다.

목록에서 EC2 인스턴스를 찾아서 선택합니다.

작업(Actions) 메뉴에서 보안(Security), IAM 역할 수정(Modify IAM role)을 선택합니다.

IAM 역할(IAM role)에 EC2 인스턴스 권한에 대한 대체 구성의 절차를 사용하여 생성한 인스턴스 프로파일을 선택합니다.

IAM 역할 업데이트(Update IAM role)를 선택합니다.