本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定 Systems Manager Explorer 的角色和許可

整合式設定會自動建立和設定 AWS Systems Manager Explorer 和 AWS Systems Manager OpsCenter 的 AWS Identity and Access Management (IAM) 角色。如果您已完成整合式設定，則不需要執行任何其他工作來設定 Explorer 的角色和許可。但是，您必須設定 OpsCenter 的許可，如本主題稍後所述。

整合式設定會建立和設定下列角色，以使用 Explorer 和 OpsCenter。

如果將 Explorer 設定為使用 AWS Organizations 和資源資料同步以顯示來自多個帳戶和區域的資料，則 Systems Manager 會建立 AWSServiceRoleForAmazonSSM_AccountDiscovery 服務連結角色。Systems Manager 會使用此角色來取得 AWS Organizations 中 AWS 帳戶 的相關資訊。該角色會使用下列許可政策。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "organizations:DescribeAccount",
            "organizations:DescribeOrganization",
            "organizations:ListAccounts",
            "organizations:ListAWSServiceAccessForOrganization",
            "organizations:ListChildren",
            "organizations:ListParents"
         ],
         "Resource":"*"
      }
   ]
}

如需 AWSServiceRoleForAmazonSSM_AccountDiscovery 角色的詳細資訊，請參閱 使用 角色來收集 OpsCenter和 AWS 帳戶 的資訊 Explorer。

設定的 Systems Manager OpsCenter 的許可

完成整合式設定之後，您必須設定使用者、群組或角色許可，以便使用者在 OpsCenter 中執行動作。

開始之前

可以將 OpsCenter 設定為建立和管理單一帳戶或跨多個帳戶的 OpsItems。如果將 OpsCenter 設定為跨多個帳戶建立和管理 OpsItems，則可以使用 Systems Manager 委派管理員帳戶或 AWS Organizations 管理帳戶在其他帳戶中手動建立、檢視或編輯 OpsItems。如需有關 Systems Manager 委派管理員帳戶的詳細資訊，請參閱設定 Explorer 的委派管理員。

如果您針對單一帳戶設定 OpsCenter，則只能在建立 OpsItems 的帳戶中檢視或編輯 OpsItems。無法跨 AWS 帳戶 共享或傳輸 OpsItems。因此，建議您在用來執行 AWS 工作負載的 AWS 帳戶 中設定 OpsCenter 許可。然後，您就可以在該帳戶中建立 使用者或群組。利用這種方式，多位營運工程師或 IT 專業人員即可在相同的 AWS 帳戶 中建立、檢視和編輯 OpsItems。

Explorer 和 OpsCenter 會使用下列 API 操作。如果使用者、群組或角色可以存取這些動作，您就可以使用 Explorer 和 OpsCenter 的所有功能。您也可以建立更嚴格的存取權，如本節前文所述。

您可以視需要將下列內嵌政策新增至帳戶、群組或角色，以指定唯讀許可。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetOpsItem",
        "ssm:GetOpsSummary",
        "ssm:DescribeOpsItems",
        "ssm:GetServiceSetting",
        "ssm:ListResourceDataSync"
      ],
      "Resource": "*"
    }
  ]
}

如需有關建立和編輯 IAM 政策的詳細資訊，請參閱《IAM 使用者指南》中的建立 IAM 政策。如需如何將此政策指派給 IAM 群組的資訊，請參閱將政策連接到 IAM 群組。

使用以下項目建立許可並將許可新增至使用者、群組或角色：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetOpsItem",
        "ssm:UpdateOpsItem",
        "ssm:DescribeOpsItems",
        "ssm:CreateOpsItem",
        "ssm:CreateResourceDataSync",
        "ssm:DeleteResourceDataSync",
        "ssm:ListResourceDataSync",
        "ssm:UpdateResourceDataSync"

      ],
      "Resource": "*"
    }
  ]
}

視您在組織中使用的身分應用程式而定，您可以選取下列任何選項來設定使用者存取權。

若要提供存取權，請新增權限至您的使用者、群組或角色：

使用標籤限制存取 OpsItems

您也可以使用指定標籤的內嵌 IAM 政策，限制存取 OpsItems。以下範例會指定 Department 的標籤鍵和 Finance 的標籤值。使用此政策，使用者只能呼叫 GetOpsItem API 操作，檢視之前以 Key=Department 和 Value=Finance 標記的 OpsItems。使用者無法檢視任何其他 OpsItems。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetOpsItem"
             ],
      "Resource": "*"
      ,
      "Condition": { "StringEquals": { "ssm:resourceTag/Department": "Finance" } }
    }
  ]
}

以下範例會指定檢視和更新 OpsItems 的 API 操作。此政策還會指定兩組標籤金鑰/值對：Department-Finance 和 Project-Unity。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "ssm:GetOpsItem",
            "ssm:UpdateOpsItem"
         ],
         "Resource":"*",
         "Condition":{
            "StringEquals":{
               "ssm:resourceTag/Department":"Finance",
               "ssm:resourceTag/Project":"Unity"
            }
         }
      }
   ]
}

如需將標籤新增到 OpsItem 的資訊，請參閱 手動建立 OpsItems。