配置 Systems Manager 所需的实例权限

访问：https://console.aws.amazon.com/iam/，打开 IAM 控制台。

在导航窗格中，选择 Policies (策略)，然后选择 Create policy (创建策略)。

选择 JSON 选项卡，并将原定设置文本替换为以下内容。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::aws-ssm-region/*",
                "arn:aws:s3:::aws-windows-downloads-region/*",
                "arn:aws:s3:::amazon-ssm-region/*",
                "arn:aws:s3:::amazon-ssm-packages-region/*",
                "arn:aws:s3:::region-birdwatcher-prod/*",
                "arn:aws:s3:::aws-ssm-distributor-file-region/*",
                "arn:aws:s3:::aws-ssm-document-attachments-region/*",
                "arn:aws:s3:::patch-baseline-snapshot-region/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl", 
                "s3:GetEncryptionConfiguration" 
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*",
                "arn:aws:s3:::amzn-s3-demo-bucket" 
            ]
        }
    ]
}

¹ 只有在使用 VPC 终端节点时，才需要使用第一个 Statement 元素。

² 只有在 Systems Manager 操作中使用您创建的 S3 存储桶时，才需要使用第二个 Statement 元素。

³ 只有在您打算为其他账户中的 S3 存储桶提供跨账户访问支持时，才需要使用 PutObjectAcl 访问控制列表权限。

⁴ 如果您的 S3 存储桶配置为使用加密，则 GetEncryptionConfiguration 元素是必需的。

⁵ 如果您的 S3 存储桶配置为使用加密，则 S3 存储桶根（例如 arn:aws:s3:::amzn-s3-demo-bucket ）必须列在资源部分。您的用户、组或角色必须配置为有权访问根存储桶。

如果在操作中使用 VPC 终端节点，请执行以下操作：

在第一个 Statement 元素中，将每个区域占位符替换为将使用该策略 AWS 区域 的标识符。例如，对于美国东部 (俄亥俄) 区域，请使用 us-east-2。有关支持的 region 值的列表，请参阅《Amazon Web Services 一般参考》中的 Systems Manager service endpoints 的 Region 列。

-或者-

如果在操作中不使用 VPC 终端节点，您可以删除第一个 Statement 元素。

如果在 Systems Manager 操作中使用您自己的 S3 存储桶，请执行以下操作：

在第二个 Statement 元素中，将 amzn-s3-demo-bucket 替换为您的账户中的 S3 存储桶的名称。将在 Systems Manager 操作中使用该存储桶。它将 "arn:aws:s3:::my-bucket-name/*" 作为资源，以便为存储桶中的对象提供权限。有关为存储桶或存储桶中的对象提供权限的更多信息，请参阅 Amazon Simple Storage Service 用户指南中的 Amazon S3 操作主题，以及 AWS 博客文章 IAM policy、存储桶策略和 ACL！Oh, My! (Controlling Access to S3 Resources)。

"Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket1/*",
"arn:aws:s3:::amzn-s3-demo-bucket2/*"
               ]

- 或者 -

如果在 Systems Manager 操作中不使用您自己的 S3 存储桶，您可以删除第二个 Statement 元素。

选择下一步：标签。

（可选）通过选择 Add tag（添加标签）并输入策略的首选标签来添加标签。

选择 下一步: 审核。

在 Name（名称）中，输入用于标识此策略的名称，例如 SSMInstanceProfileS3Policy。

选择创建策略。

登录 AWS Management Console，打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

在导航窗格中的 Instances 下，选择 Instances。

导航至并从列表中选择您的 EC2 实例。

在操作 菜单中，选择安全、修改 IAM 角色。

对于 IAM role (IAM 角色)，选择您使用 EC2 实例权限的替代配置 中的过程创建的实例配置文件。

选择 Update IAM role（更新 IAM 角色）。