設定適用於組織的 Change Manager (管理帳戶)

若要在 Organizations 管理帳戶中設定 Change Manager 的組織

1. 開啟位於 https://console.aws.amazon.com/systems-manager/ 的 AWS Systems Manager 主控台。

2. 在導覽窗格中，選擇 Quick Setup。

3. 在 Change Manager 卡上，選擇 Create (建立)。

4. 對於 Delegated administrator account (委派管理員帳戶)，輸入您要用來管理變更範本、變更請求和 Change Manager 中的 Runbook 工作流程的 AWS 帳戶 的 ID。

   如果您先前已為 Systems Manager 指定委派管理員帳戶，其 ID 已在此欄位中報告。

   重要

   委派管理員帳戶必須是在 Organizations 中指派給組織單位 (OU) 的唯一成員。

   如果您註冊的委派管理員帳戶稍後會從該角色取消註冊，系統會同時移除其管理 Systems Manager 操作的許可。請注意，您需要返回 Quick Setup、指定不同的委派管理員帳戶，然後再次指定所有任務職能和許可。

   如果您在整個組織中使用 Change Manager，我們建議始終從委派管理員帳戶進行變更。雖然您可以從組織中的其他帳戶進行變更，但這些變更將不會在受委派管理員帳戶中報告，也不可在其中檢視。

5. 在 Permissions to request and make changes (請求和進行變更的許可) 區段中，執行下列動作。

   注意

   您建立的每個部署組態只會針對一個任務職能提供許可政策。您可以稍後返回 Quick Setup，以便在您建立要用於操作的變更範本時，建立更多任務職能。

   若要建立管理員角色 – 對於對所有 AWS 動作具有 IAM 許可的管理員任務職能 動作，請執行下列動作。

   重要

   授予使用者完整的管理許可務必謹慎進行，且只有當他們的角色需要完整的 Systems Manager 存取權限時進行。如需 Systems Manager 存取之安全考量的重要資訊，請參閱 適用於 AWS Systems Manager 的 Identity and Access Management 和 Systems Manager 的安全最佳實務。

   1. 對於 Job function (任務職能)，輸入名稱以識別此角色及其許可，例如 MyAWSAdmin。

   2. 對於 Role and permissions option (角色和許可選項)，選擇 Administrator permissions (管理員許可)。

   若要建立其他任務職能 – 若要建立非管理角色，請執行下列動作：

   1. 對於 Job function (任務職能)，輸入名稱以識別此角色及建議其許可。您選擇的名稱應代表您將提供許可的 Runbook 範圍，例如 DBAdmin 或 S3Admin。

   2. 對於 Role and permissions option (角色和許可選項)，選擇 Custom permissions (自訂許可)。

   3. 在 Permissions policy editor (許可政策編輯器) 中，以 JSON 格式輸入 IAM 許可，進而授與此任務職能。

   提示

   我們建議您使用 IAM 政策編輯器來建構政策，然後將政策 JSON 貼到 Permissions policy (許可政策) 欄位。

   範例政策：DynamoDB 資料庫管理

   例如，您可以從政策內容開始，提供使用任務職能需要存取的 Systems Manager 文件 (SSM 文件) 的許可。以下是一個範例政策內容，可授予所有與 DynamoDB 資料庫相關的 AWS 受管 Automation Runbook，以及範例 AWS 帳戶 123456789012 中已建立的兩個變更範本 (位於美國東部 (俄亥俄) 區域 (us-east-2))。

   該政策也包含 StartChangeRequestExecution 操作的許可，這是在 Change Calendar 中建立變更請求所必需的。

   注意

   此範例並不全面。搭配使用其他 AWS 資源可能需要其他許可，例如資料庫和節點。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:CreateDocument",
                   "ssm:DescribeDocument",
                   "ssm:DescribeDocumentParameters",
                   "ssm:DescribeDocumentPermission",
                   "ssm:GetDocument",
                   "ssm:ListDocumentVersions",
                   "ssm:ModifyDocumentPermission",
                   "ssm:UpdateDocument",
                   "ssm:UpdateDocumentDefaultVersion"
               ],
               "Resource": [
                   "arn:aws:ssm:region:*:document/AWS-CreateDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-AWS-DeleteDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-DeleteDynamoDbTableBackups",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-DeleteDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnableEncryptionOnDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnablePITRForDynamoDbTable",
                   "arn:aws:ssm:region:123456789012:document/MyFirstDBChangeTemplate",
                   "arn:aws:ssm:region:123456789012:document/MySecondDBChangeTemplate"
               ]
           },
           {
               "Effect": "Allow",
               "Action": "ssm:ListDocuments",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "ssm:StartChangeRequestExecution",
               "Resource": "arn:aws:ssm:region:123456789012:automation-definition/*:*"
           }
       ]
   }

   如需 IAM 政策的詳細資訊，請參閱《IAM 使用者指南》中的 AWS 資源的存取管理和建立 IAM 政策。

6. 在 Targets (目標) 區段中，選擇要將您建立之任務職能的許可授予整個組織，還是只授予部分組織單位。

   如果您選擇 Entire organization (整個組織)，請繼續步驟 9。

   如果選擇 Custom (自訂)，請繼續步驟 8。

7. 在 Target OUs (目標 OU) 區段中，選取要搭配 Change Manager 使用之組織單位的核取方塊。

8. 選擇 Create (建立)。