콘솔을 사용하여 유지 관리 기간에 대한 액세스 제어

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

탐색 창에서 정책을 선택한 후 정책 생성을 선택합니다.

정책 편집기 영역에서 JSON을 선택합니다.

기본 콘텐츠를 다음으로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand",
                "ssm:CancelCommand",
                "ssm:ListCommands",
                "ssm:ListCommandInvocations",
                "ssm:GetCommandInvocation",
                "ssm:GetAutomationExecution",
                "ssm:StartAutomationExecution",
                "ssm:ListTagsForResource",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "states:DescribeExecution",
                "states:StartExecution"
            ],
            "Resource": [
                "arn:aws:states:*:*:execution:*:*",
                "arn:aws:states:*:*:stateMachine:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "resource-groups:ListGroups",
                "resource-groups:ListGroupResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ssm.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

계정에서 실행하는 유지 관리 작업에 필요한 경우 JSON 콘텐츠를 수정합니다. 변경 사항은 계획된 작업에 따라 다릅니다.

예:

정책 수정을 완료한 후 다음을 선택합니다.

정책 이름에 만드는 서비스 역할에 연결된 정책임을 식별할 수 있는 이름을 입력합니다. 예: my-maintenance-window-role-policy.

(선택 사항) 태그 추가 영역에서 하나 이상의 태그-키 값 페어를 추가하여 이 정책에 대한 액세스를 구성, 추적 또는 제어합니다.

정책 생성을 선택합니다.

정책에 지정한 이름을 기록해 둡니다. 다음 절차인 태스크 2: 콘솔을 사용하여 유지 관리 기간에 대한 사용자 지정 서비스 역할 생성에서 이를 참조합니다.

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

탐색 창에서 역할(Roles)을 선택한 후 역할 생성(Create role)을 선택합니다.

신뢰할 수 있는 엔터티 선택(Select trusted entity)에서 다음을 선택합니다.

Next(다음)를 선택합니다.

권한 정책 영역의 검색 상자에 태스크 1: 콘솔을 사용하여 유지 관리 기간 서비스 역할에 대한 사용자 지정 정책 생성에서 생성한 정책의 이름을 입력하고 이름 옆의 상자를 선택한 후 다음을 선택합니다.

역할 이름(Role name)에 이 역할을 Maintenance Windows 역할로 식별하는 이름을 입력합니다. 예: my-maintenance-window-role.

(선택 사항) 이 역할의 용도를 나타내도록 기본 역할 설명을 변경합니다. 예: Performs maintenance window tasks on your behalf.

1단계: 신뢰할 수 있는 엔터티 선택의 경우 신뢰 정책 상자에 다음 정책이 표시되는지 확인합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "ssm.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

2단계: 권한 추가의 경우 태스크 1: 콘솔을 사용하여 유지 관리 기간 서비스 역할에 대한 사용자 지정 정책 생성에서 생성한 정책이 존재하는지 확인합니다.

(선택 사항) 3단계: 태그 추가에서 이 역할에 대한 액세스를 구성, 추적 또는 제어할 태그-키 값 페어를 하나 이상 추가합니다.

역할 생성(Create role)을 선택합니다. 그러면 역할 페이지로 돌아갑니다.

방금 생성한 IAM 역할의 이름을 선택합니다.

요약(Summary) 영역에서 역할 이름과 ARN 값을 적어둡니다. 계정의 사용자는 유지 관리 기간을 생성할 때 이 정보를 지정합니다.

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

탐색 창에서 사용자 그룹을 선택합니다.

그룹 목록에서 iam:PassRole 권한을 할당할 그룹의 이름을 선택하거나 필요한 경우 먼저 새 그룹을 생성합니다.

권한(Permissions) 탭에서 권한 추가, 인라인 정책 생성(Add permissions, Create inline policy)을 선택합니다.

정책 편집기 영역에서 JSON을 선택하고 상자의 기본 콘텐츠를 다음과 같이 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/my-maintenance-window-role"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/"
        }
    ]
}

my-maintenance-window-role은 앞에서 생성한 사용자 지정 유지 관리 기간 역할의 이름을 나타냅니다.

account-id는 AWS 계정의 ID를 나타냅니다. 리소스 arn:aws:iam::account-id:role/에 대해 이 권한을 추가하면 사용자가 유지 관리 기간 작업을 생성할 때 콘솔에서 고객 역할을 보고 선택할 수 있습니다. arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/에 대해 이 권한을 추가하면 사용자가 유지 관리 기간 태스크를 생성할 때 콘솔에서 Systems Manager 서비스 연결 역할을 선택할 수 있습니다.

Next(다음)를 선택합니다.

검토 및 생성 페이지에서 정책 이름 상자에 PassRole 정책을 식별할 수 있는 이름(예: my-group-iam-passrole-policy)을 입력한 다음 정책 생성을 선택합니다.

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

탐색 창에서 사용자 그룹을 선택합니다.

그룹 목록에서 ssm:RegisterTaskWithMaintenanceWindow 권한을 거부할 그룹의 이름을 선택하거나 필요한 경우 먼저 새 그룹을 생성합니다.

권한(Permissions) 탭에서 권한 추가, 인라인 정책 생성(Add permissions, Create inline policy)을 선택합니다.

정책 편집기 영역에서 JSON을 선택한 다음 상자의 기본 콘텐츠를 다음과 같이 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:RegisterTaskWithMaintenanceWindow",
            "Resource": "*"
        }
    ]
}

Next(다음)를 선택합니다.

검토 및 생성 페이지의 정책 이름에 이 정책을 식별할 수 있는 이름(예: my-groups-deny-mw-tasks-policy)을 입력한 다음 정책 생성을 선택합니다.