Configurar perfis e permissões para o Change Manager

Abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação, escolha Policies e, em seguida, Create Policy.

Na página Criar política, escolha a guia JSON e substitua o conteúdo padrão pelo seguinte, que você modificará para suas próprias Change Manager operações nas etapas a seguir.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::delegated-admin-account-id:role/AWS-SystemsManager-job-functionAdministrationRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocument",
                "ssm:GetDocument",
                "ssm:StartChangeRequestExecution"
            ],
            "Resource": [
                "arn:aws:ssm:region:account-id:automation-definition/template-name:$DEFAULT",
                "arn:aws:ssm:region::document/template-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:ListOpsItemEvents",
                "ssm:GetOpsItem",
                "ssm:ListDocuments",
                "ssm:DescribeOpsItems"
            ],
            "Resource": "*"
        }
    ]
}

Para a ação iam:PassRole, atualize o valor Resource para incluir os ARNs de todas as funções de trabalho definidas para sua organização que você deseja conceder permissões para iniciar fluxos de trabalho de runbook.

Substitua os espaços reservados de region, account-id, template-name, delegated-admin-account-id e job-function por valores para suas operações Change Manager.

Para a segunda instrução Resource, modifique a lista para incluir todos os modelos de alteração para os quais você deseja conceder permissões. Como alternativa, especifique "Resource": "*" para conceder permissões para todos os modelos de alteração em sua organização.

Escolha Próximo: tags.

(Opcional) Adicione um ou mais pares de chave-valor de etiqueta para organizar, monitorar ou controlar acesso para essa política.

Escolha Próximo: revisar.

Na página Review policy (Revisar política), insira um nome na caixa Name (Nome), como MyChangeManagerAssumeRole, e insira uma descrição opcional.

Escolha Create policy (Criar política) e continue para Tarefa 2: Criando uma função assumida para Change Manager.

Abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação, escolha Roles e Create role.

Em Select trusted entity (Selecionar entidade confiável), faça as seguintes escolhas:

Escolha Próximo.

Na página Attached permissions policy (Política de permissões anexadas), procure a política de função assumida que você criou em Tarefa 1: Criar uma política de função assumida para Change Manager, por exemplo,MyChangeManagerAssumeRole.

Marque a caixa de seleção ao lado do nome da política assumir função e escolha Próximo: tags..

Em Role name (Nome da função), insira um nome para seu novo perfil da instância, como MyChangeManagerAssumeRole.

(Opcional) Em Description (Descrição), atualize a descrição deste perfil de instância.

(Opcional) Adicione um ou mais pares de chave-valor de etiqueta para organizar, monitorar ou controlar acesso para essa função.

Escolha Próximo: revisar.

(Opcional) Em Tags (Etiquetas), adicione um ou mais pares de valores etiqueta-chave para organizar, monitorar ou controlar o acesso para esse perfil e, em seguida, escolha Create role (Criar perfil). O sistema faz com que você retorne para a página Roles.

Selecione Create role (Criar função). O sistema faz com que você retorne para a página Roles.

Na página Roles (Funções), escolha a função que você acabou de criar para abrir a página Summary (Resumo).

Abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação, escolha Perfis.

Procure pela função assumida Change Manager que você criou, como MyChangeManagerAssumeRole, e escolha seu nome.

Na página Summary (Resumo) da função assumida, escolha a guia Permissions (Permissões).

Escolha Add permissions, Create inline policy (Adicionar permissões, Criar política em linha).

Na página Create policy (Criar política), selecione a guia Visual editor (Editor visual).

Selecione Service (Serviço) e, em seguida, selecione IAM.

Na caixa de texto Filter actions (Filtrar ações), insira PassRole e selecione a opção PassRole.

Ampliar os Resources (Recursos). Verifique se Specific (Específico) está selecionado e, em seguida, selecione Add ARN (Adicionar ARN).

No campo Specify ARN for role (Especificar ARN para função), insira o ARN da função de perfil da instância do IAM ou da função de serviço do IAM para a qual você deseja passar permissões de função assumida. O sistema preenche os campos Account (Conta) e Role name with path (Nome da função com caminho).

Escolha Add (Adicionar).

Escolha Review policy (Revisar política).

Em Name (Nome), insira um nome para identificar essa política e escolha Create policy (Criar política).

Faça login no AWS Management Console e abra o console do IAM, em https://console.aws.amazon.com/iam/.

No painel de navegação, selecione Perfis.

Na lista, escolha o nome da função assumida que você deseja atualizar, como MyChangeManagerAssumeRole.

Escolha a aba Permissões.

Escolha Add permissions, Create inline policy (Adicionar permissões, Criar política em linha).

Selecione a guia JSON.

Insira um documento de política JSON para os Serviços da AWS que você deseja chamar. Veja a seguir dois exemplos de documentos de política JSON

Simple Storage Service (Amazon S3) PutObject e GetObject exemplo

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}
        

Amazon EC2 CreateSnapshot e DescribeSnapShots exemplo

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ec2:CreateSnapshot",
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":"ec2:DescribeSnapshots",
         "Resource":"*"
      }
   ]
}

Para obter detalhes sobre a linguagem da política do IAM, consulte a Referência da política JSON do IAM no Guia do usuário do IAM.

Ao concluir, selecione Review policy (Revisar política). O Validador de política indica se há qualquer erro de sintaxe.

Em Name (Nome), insira um nome para identificar a política que você está criando. Revise o Resumo da política para ver as permissões que são concedidas pela política. Em seguida, escolha Criar política para salvar seu trabalho.

Após a criação de uma política em linha, ela é automaticamente incorporada à sua função.