Configurar os tópicos do Amazon SNS para as notificações do Change Manager - AWS Systems Manager
Tarefa 1: Criar e assinar um tópico do Amazon SNSTarefa 2: Atualizar a política de acesso do Amazon SNSTarefa 3: Atualizar a política de acesso do AWS Key Management Service (opcional)

Configurar os tópicos do Amazon SNS para as notificações do Change Manager

Você pode configurar o Change Manager, um recurso do AWS Systems Manager, para enviar notificações a um tópico do Amazon Simple Notification Service (Amazon SNS) para eventos relacionados a solicitações e modelos de alteração. Conclua as tarefas a seguir para receber notificações dos eventos do Change Manageraos quais você adiciona um tópico.

Tarefa 1: Criar e assinar um tópico do Amazon SNS

Primeiro, crie e se inscreva em um tópico do Amazon SNS. Para obter informações, consulte Criar um tópico do Amazon SNS e Assinar tópico do Amazon SNS no Guia do desenvolvedor do Amazon Simple Notification Service.

nota

Para receber notificações, você deverá especificar o nome do recurso da Amazon (ARN) de um tópico do Amazon SNS que estiver na mesma Região da AWS e Conta da AWS que a conta do administrador delegado.

Tarefa 2: Atualizar a política de acesso do Amazon SNS

Use o procedimento a seguir para atualizar a política de acesso do Amazon SNS, para que o Systems Manager possa publicar notificações do Change Manager no tópico do Amazon SNS que você criou na tarefa 1. Sem concluir esta tarefa, o Change Manager não terá permissão para enviar notificações para os eventos aos quais você adicionou o tópico.

  1. Faça login no AWS Management Console e abra o console do Amazon SNS em https://console.aws.amazon.com/sns/v3/home.

  2. No painel de navegação, escolha Tópicos.

  3. Selecione o tópico criado na tarefa 1 e escolha Edit (Editar).

  4. Expanda Access policy (Política de acesso).

  5. Adicione e atualize o seguinte bloco do Sid à política existente e substitua cada espaço reservado para entrada do usuário pelas suas próprias informações.

    {
    "Sid": "Allow Change Manager to publish to this topic",
    "Effect": "Allow",
    "Principal": {
        "Service": "ssm.amazonaws.com"
    },
    "Action": "sns:Publish",
    "Resource": "arn:aws:sns:region:account-id:topic-name",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": [
                "account-id"
            ]
        }
    }
}

    Insira esse bloco após o bloco Sid existente e substitua region, account-id e topic_name pelos valores apropriados para o tópico que você criou.

  6. Escolha Salvar alterações.

O sistema agora envia notificações para o tópico do Amazon SNS quando o tipo de evento que você adicionar ao tópico ocorrer.

Importante

Se você configurou o tópico do Amazon SNS com uma chave de criptografia do AWS Key Management Service (AWS KMS) no lado do servidor, conclua a tarefa 3.

Tarefa 3: Atualizar a política de acesso do AWS Key Management Service (opcional)

Se você ativou a criptografia do lado do servidor do AWS Key Management Service (AWS KMS) para seu tópico do Amazon SNS, atualize também a política de acesso da AWS KMS key escolhida ao configurar o tópico. Use o procedimento a seguir para atualizar a política de acesso, de forma que o Systems Manager possa publicar as notificações de aprovação do Change Manager no tópico do Amazon SNS que você criou na tarefa 1.

  1. Abra o console do AWS KMS em https://console.aws.amazon.com/kms.

  2. No painel de navegação, escolha Chaves gerenciadas pelo cliente.

  3. Selecione o ID da chave gerenciada do cliente que você escolheu ao criar o tópico.

  4. Na seção Key Policy (Política de chaves), selecione Switch to policy view (Alternar para a visualização da política).

  5. Selecione a opção Editar.

  6. Insira o seguinte bloco Sid após um dos blocos Sid existentes na política existente. Substitua cada espaço reservado para entrada do usuário por suas próprias informações.

    {
    "Sid": "Allow Change Manager to decrypt the key",
    "Effect": "Allow",
    "Principal": {
        "Service": "ssm.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey*"
    ],
    "Resource": "arn:aws:kms:region:account-id:key/key-id",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": [
                "account-id"
            ]
        }
    }
}

  7. Insira o seguinte bloco Sid após um dos blocos Sid existentes na política de recursos para ajudar a evitar o problema confused deputy entre serviços.

    Esse bloco usa as chaves de contexto de condição global aws:SourceArn e aws:SourceAccount com o objetivo de limitar as permissões concedidas pelo Systems Manager para outro serviço ao recurso.

    Substitua cada espaço reservado para entrada do usuário por suas próprias informações.

    {
  "Version": "2008-10-17",
  "Statement": [
    {
      "Sid": "Configure confused deputy protection for AWS KMS keys used in Amazon SNS topic when called from Systems Manager",
      "Effect": "Allow",
      "Principal": {
        "Service": "ssm.amazonaws.com"
      },
      "Action": [
        "sns:Publish"
      ],
      "Resource": "arn:aws:sns:region:account-id:topic-name",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:ssm:region:account-id:*"
        },
        "StringEquals": {
          "aws:SourceAccount": "account-id"
        }
      }
    }
  ]
}

  8. Escolha Salvar alterações.