向现有 IAM 角色添加 Session Manager 权限 - AWS Systems Manager

向现有 IAM 角色添加 Session Manager 权限

使用以下过程为现有 AWS Identity and Access Management（IAM）角色添加 Session Manager 权限。通过向现有角色添加权限，您可以增强计算环境的安全性，而不必使用 AWSAmazonSSMManagedInstanceCore 策略来获得实例权限。

注意

请注意以下信息：

  • 此过程假设现有角色已包含您希望允许访问的操作的其他 Systems Manager ssm 权限。要使用 Session Manager，只有此策略是不够的。

  • 以下策略示例包括一项 s3:GetEncryptionConfiguration 操作。如果您在 Session Manager 日志首选项中选择了强制 S3 日志加密选项，则需要执行此操作。

向现有角色添加 Session Manager 权限（控制台）

  1. 登录 AWS Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

  2. 在导航窗格中，选择角色。

  3. 选择要向其添加权限的角色的名称。

  4. 选择权限选项卡。

  5. 选择添加权限，然后选择创建内联策略。

  6. 选择 JSON 选项卡。

  7. 将默认策略内容替换为以下内容。将 key-name 替换为您要使用的 AWS Key Management Service 密钥（AWS KMS key）的 Amazon 资源名称（ARN）。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "key-name"
        }
    ]
}

    有关使用 KMS 密钥加密会话数据的信息，请参阅 启用会话数据的 KMS 密钥加密（控制台）。

    如果您不为会话数据使用 AWS KMS 加密，可以从策略中删除以下内容。

    ,
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "key-name"
        }

  8. 选择下一步：标签。

  9. （可选）通过选择 Add tag（添加标签）并输入策略的首选标签来添加标签。

  10. 选择 下一步: 审核。

  11. 在查看策略页面上，对于名称，输入内联策略的名称，例如 SessionManagerPermissions。

  12. （可选）对于 Description (描述)，输入策略的描述。

    选择 Create policy (创建策略)。

有关 ssmmessages 操作的信息，请参阅 参考：ec2messages、ssmmessages 和其他 API 操作。