本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS 受管理的政策 AWS Systems Manager

受 AWS 管理的策略是由建立和管理的獨立策略 AWS。 AWS 受管理的策略旨在為許多常見使用案例提供權限，以便您可以開始將權限指派給使用者、群組和角色。

請記住， AWS 受管理的政策可能不會為您的特定使用案例授與最低權限權限，因為這些權限可供所有 AWS 客戶使用。我們建議您定義使用案例專屬的客戶管理政策，以便進一步減少許可。

您無法變更受 AWS 管理策略中定義的權限。如果 AWS 更新 AWS 受管理原則中定義的權限，則此更新會影響附加原則的所有主體識別 (使用者、群組和角色)。 AWS 當新的啟動或新API作業可供現有服務使 AWS 服務 用時，最有可能更新 AWS 受管理的策略。

如需詳細資訊，請參閱IAM使用指南中的AWS 受管理策略。

AWS 受管理策略：A mazonSSMService RolePolicy

您無法附加AmazonSSMServiceRolePolicy至您的 AWS Identity and Access Management (IAM) 實體。此原則附加至服務連結角色，可 AWS Systems Manager 代表您執行動作。如需詳細資訊，請參閱使用角色收集庫存和檢視 OpsData。

AmazonSSMServiceRolePolicy 允許 Systems Manager 對所有相關資源 ("Resource": "*") 完成下列動作，除非另有說明：

[1] 僅允許對以下資源進行 ssm:UpdateServiceSetting 和 ssm:GetServiceSetting 動作的許可。

arn:aws:ssm:*:*:servicesetting/ssm/opsitem/*
arn:aws:ssm:*:*:servicesetting/ssm/opsdata/*

[2] 僅允許對以下資源進行 lambda:InvokeFunction 動作的許可。

arn:aws:lambda:*:*:function:SSM*
arn:aws:lambda:*:*:function:*:SSM*

[3] 僅允許對以下資源進行 states: 動作的許可。

arn:aws:states:*:*:stateMachine:SSM*
arn:aws:states:*:*:execution:SSM*

[4] 透過以下條件，僅允許對 Systems Manager 服務進行 iam:PassRole 動作的許可。

"Condition": {
   "StringEquals": {
      "iam:PassedToService": [
         "ssm.amazonaws.com"
      ]
   }
}

[5] 僅允許對以下資源進行 cloudformation:ListStackInstances、cloudformation:DescribeStackSetOperation 和 cloudformation:DeleteStackSet 動作的許可。

arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-SSM*:*

[6] 僅允許對以下資源進行 cloudformation:DeleteStackInstances 動作的許可。

arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-SSM*:*
arn:aws:cloudformation:*:*:stackset-target/AWS-QuickSetup-SSM*:*
arn:aws:cloudformation:*:*:type/resource/*

[7] 透過以下條件，僅允許對 Systems Manager 服務進行 events:PutRule 和 events:PutTargets 動作的許可。

"Condition": {
    "StringEquals": {
        "events:ManagedBy": "ssm.amazonaws.com"
    }
}

[8] 僅允許對以下資源進行 events:RemoveTargets 和 events:DeleteRule 動作的許可。

arn:aws:events:*:*:rule/SSMExplorerManagedRule

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理mazonSSMServiceRolePolicy的策略參考指南》中的 A。

AWS 受管理策略：A mazonSSMRead OnlyAccess

您可以將AmazonSSMReadOnlyAccess原則附加至您的IAM身分識別。此原則會授與 AWS Systems Manager API作業的唯讀存取權Describe*，包括Get*、和List*。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理mazonSSMReadOnlyAccess的策略參考指南》中的 A。

AWS 受管理的策略： AWSSystemsManagerOpsDataSyncServiceRolePolicy

您無法附加AWSSystemsManagerOpsDataSyncServiceRolePolicy至您的IAM實體。此政策會連接到服務連結角色，而此角色可讓 Systems Manager 代表您執行動作。如需詳細資訊，請參閱使用角色建立 OpsData 和 OpsItems for Explorer。

AWSSystemsManagerOpsDataSyncServiceRolePolicy允許AWSServiceRoleForSystemsManagerOpsDataSync服務連結角色建立OpsItems和更新 OpsData 發 AWS Security Hub 現項目。

此政策允許 Systems Manager 對所有相關資源 ("Resource": "*") 完成下列動作，除非另有說明：

[1] 透過以下條件，僅允許對 Systems Manager 服務進行 ssm:GetOpsItem 和 ssm:UpdateOpsItem 動作的許可。

"Condition": {
    "StringEquals": {
        "aws:ResourceTag/ExplorerSecurityHubOpsItem": "true"
    }
}

[2] 僅允許對以下資源進行 ssm:AddTagsToResource 動作的許可。

arn:aws:ssm:*:*:opsitem/*

[3] 僅允許對以下資源進行 ssm:UpdateServiceSetting 和 ssm:GetServiceSetting 動作的許可。

arn:aws:ssm:*:*:servicesetting/ssm/opsitem/*
arn:aws:ssm:*:*:servicesetting/ssm/opsdata/*

[4] 透過以下條件，僅拒絕對 Systems Manager 服務進行 securityhub:BatchUpdateFindings 的許可。

{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"securityhub:ASFFSyntaxPath/Workflow.Status": "SUPPRESSED"
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Confidence": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Criticality": false
				}
			}
		},		
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Note.Text": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Note.UpdatedBy": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/RelatedFindings": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/Types": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/UserDefinedFields.key": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/UserDefinedFields.value": false
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": "securityhub:BatchUpdateFindings",
			"Resource": "*",
			"Condition": {
				"Null": {
					"securityhub:ASFFSyntaxPath/VerificationState": false
				}
			}

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSSystemsManagerOpsDataSyncServiceRolePolicy中的。

AWS 受管理策略：A mazonSSMManaged EC2InstanceDefaultPolicy

您只應附加AmazonSSMManagedEC2InstanceDefaultPolicy至想要授權使用Systems Manager功能之 Amazon EC2 執行個體的IAM角色。您不應將此角色附加至其他IAM實體 (例如IAM使用者和IAM群組)，或是服務於其他用途的IAM角色。如需詳細資訊，請參閱使用預設主機管理組態自動管理EC2執行個體。

此政策授予許可，允許 SSM Agent Amazon EC2 執行個體與雲端中的 Systems Manager 服務通訊，以便執行各種任務。它還授予兩個提供授權令牌的服務的權限，以確保在正確的實例上執行操作。

許可詳細資訊

此政策包含以下許可。

如需ssmmessages和ec2messages端點的相關資訊，包括兩者之間的差異，請參閱客服人員相關API操作 （ssmmessages 和 ec2messages 端點）。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理mazonSSMManagedEC2InstanceDefaultPolicy的策略參考指南》中的 A。

AWS 受管理的策略：SSMQuickSetupRolePolicy

您無法附加SSMQuickSetupRolePolicy至您的IAM實體。此政策會連接到服務連結角色，而此角色可讓 Systems Manager 代表您執行動作。如需詳細資訊，請參閱使用角色來維護 Quick Setup-佈建的資源運作狀態和一致性。

此原則會授與唯讀權限，讓 Systems Manager 檢查組態健康狀態、確保參數和佈建資源的一致性使用，並在偵測到漂移時修復資源。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》SSMQuickSetupRolePolicy中的。

AWS 受管理的策略： AWSQuickSetupDeploymentRolePolicy

受管理的原則AWSQuickSetupDeploymentRolePolicy支援多種Quick Setup組態類型。這些組態類型會建立IAM角色和自動化，以建議的最佳實務來設定常用 Amazon Web Services 服務和功能。

您可以附加AWSQuickSetupDeploymentRolePolicy到您的IAM實體。

此原則會授與建立與下列Quick Setup組態相關聯之資源所需的管理權限：

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupDeploymentRolePolicy中的。

AWS 受管理的策略： AWSQuickSetupPatchPolicyDeploymentRolePolicy

受管理的策略AWSQuickSetupPatchPolicyDeploymentRolePolicy支援此使用 設定組織中執行個體的修補 Quick SetupQuick Setup類型。此組態類型有助於自動修補單一帳戶或整個組織中的應用程式和節點。

您可以附加AWSQuickSetupPatchPolicyDeploymentRolePolicy到您的IAM實體。 Systems Manager也會將此原則附加至允許代表您執Systems Manager行動作的服務角色。

此原則會授與管理權限，這些權限Quick Setup允許建立與修補程式原則組態相關聯的資源。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupPatchPolicyDeploymentRolePolicy中的。

AWS 受管理的策略： AWSQuickSetupPatchPolicyBaselineAccess

受管理的策略AWSQuickSetupPatchPolicyBaselineAccess支援此使用 設定組織中執行個體的修補 Quick SetupQuick Setup類型。此組態類型有助於自動修補單一帳戶或整個組織中的應用程式和節點。

您可以附加AWSQuickSetupPatchPolicyBaselineAccess到您的IAM實體。 Systems Manager也會將此原則附加至允許代表您執Systems Manager行動作的服務角色。

此原則提供唯讀權限，以存取目前 AWS 帳戶 或組織中的系統管理員使用設定的修補程式基準Quick Setup。修補程式基準存放在 Amazon S3 儲存貯體中，可用於修補單一帳戶或整個組織中的執行個體。

許可詳細資訊

此原則包含下列權限。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupPatchPolicyBaselineAccess中的。

AWS 受管理的策略：AWSSystemsManagerEnableExplorerExecutionPolicy

受管理的原則AWSSystemsManagerEnableExplorerExecutionPolicy支援啟用Explorer的功能 AWS Systems Manager。

您可以附加AWSSystemsManagerEnableExplorerExecutionPolicy到您的IAM實體。 Systems Manager也會將此原則附加至允許代表您執Systems Manager行動作的服務角色。

此原則會授與啟用的管理權限Explorer。這包括更新相關Systems Manager服務設定，以及為其建立服務連結角色的Systems Manager權限。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSSystemsManagerEnableExplorerExecutionPolicy中的。

AWS 受管理的策略：AWSSystemsManagerEnableConfigRecordingExecutionPolicy

受管理的原則AWSSystemsManagerEnableConfigRecordingExecutionPolicy支援使用 建立 AWS Config組態記錄器 Quick SetupQuick Setup組態類型。此組態類型可Quick Setup讓您追蹤並記錄您選擇的 AWS 資源類型的變更 AWS Config。它還可Quick Setup以為記錄的數據配置傳遞和通知選項。

您可以附加AWSSystemsManagerEnableConfigRecordingExecutionPolicy到您的IAM實體。 Systems Manager也會將此原則附加至允許代表您執Systems Manager行動作的服務角色。

此原則會授與允許Quick Setup啟用和設定 AWS Config 組態記錄的管理權限。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSSystemsManagerEnableConfigRecordingExecutionPolicy中的。

AWS 受管理的策略： AWSQuickSetupDevOpsGuruPermissionsBoundary

受管理的策略AWSQuickSetupDevOpsGuruPermissionsBoundary支援此使用 設定 DevOpsGuru Quick Setup類型。組態類型可讓機器學習支援的 Amazon DevOps Guru。 DevOpsGuru 服務可協助改善應用程式的作業效能和可用性。

當您使用建立AWSQuickSetupDevOpsGuruPermissionsBoundary組態時Quick Setup，系統會將此權限界限套用至部署組態時建立的IAM角色。權限界限會限制Quick Setup建立的角色範圍。

此政策授予允許Quick Setup啟用和設定 Amazon DevOps Guru 的管理許可。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupDevOpsGuruPermissionsBoundary中的。

AWS 受管理的策略： AWSQuickSetupDistributorPermissionsBoundary

受管理的原則AWSQuickSetupDistributorPermissionsBoundary支援部署 Distributor 套件使用 Quick SetupQuick Setup組態類型。此組態類型有助於啟用軟體套件 (例如代理程式) 分發到 Amazon 彈性運算雲端 (AmazonEC2) 執行個體 (使用代理程式) 的功能 AWS Systems Manager。

當您使用建立AWSQuickSetupDistributorPermissionsBoundary組態時Quick Setup，系統會將此權限界限套用至部署組態時建立的IAM角色。權限界限會限制Quick Setup建立的角色範圍。

此政策授予管理許可，Quick Setup允許使用代理商將軟體套件 (例如代理程式) 散發到 Amazon EC2 執行個體。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupDistributorPermissionsBoundary中的。

AWS 受管理的策略： AWSQuickSetupSSMHostMgmtPermissionsBoundary

受管理的原則AWSQuickSetupSSMHostMgmtPermissionsBoundary支援使用 設定 Amazon EC2 主機管理 Quick SetupQuick Setup組態類型。此組態類型可設定IAM角色，並啟用常用的 Systems Manager 功能，以安全地管理 Amazon EC2 執行個體。

當您使用建立AWSQuickSetupSSMHostMgmtPermissionsBoundary組態時Quick Setup，系統會將此權限界限套用至部署組態時建立的IAM角色。權限界限會限制Quick Setup建立的角色範圍。

此原則授與管理權限，允許啟Quick Setup用和設定安全管理EC2執行個體所需的系統管理員功能。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupSSMHostMgmtPermissionsBoundary中的。

AWS 受管理的策略： AWSQuickSetupPatchPolicyPermissionsBoundary

受管理的策略AWSQuickSetupPatchPolicyPermissionsBoundary支援此使用 設定組織中執行個體的修補 Quick SetupQuick Setup類型。此組態類型有助於自動修補單一帳戶或整個組織中的應用程式和節點。

當您使用建立AWSQuickSetupPatchPolicyPermissionsBoundary組態時Quick Setup，系統會將此權限界限套用至部署組態時建立的IAM角色。權限界限會限制Quick Setup建立的角色範圍。

此原則會授與允許在Patch Manager中啟Quick Setup用和設定修補程式原則的管理權限 AWS Systems Manager。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupPatchPolicyPermissionsBoundary中的。

AWS 受管理的策略： AWSQuickSetupSchedulerPermissionsBoundary

受管理的原則AWSQuickSetupSchedulerPermissionsBoundary支援使用 在排程上自動停止和啟動EC2執行個體 Quick SetupQuick Setup組態類型。此組態類型可讓您在指定的時間停止及啟動EC2執行個體和其他資源。

當您使用建立AWSQuickSetupSchedulerPermissionsBoundary組態時Quick Setup，系統會將此權限界限套用至部署組態時建立的IAM角色。權限界限會限制Quick Setup建立的角色範圍。

此原則會授與管理權限，這些權限Quick Setup允許在EC2執行個體和其他資源上啟用和設定排程作業。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupSchedulerPermissionsBoundary中的。

AWS 受管理的策略： AWSQuickSetupCFGCPacksPermissionsBoundary

受管理的原則AWSQuickSetupCFGCPacksPermissionsBoundary支援使用 部署 AWS Config 一致性套件 Quick SetupQuick Setup組態類型。此組態類型會部署一 AWS Config 致性套件。一致性套件是 AWS Config 規則和修正動作的集合，可部署為單一實體。

當您使用建立AWSQuickSetupCFGCPacksPermissionsBoundary組態時Quick Setup，系統會將此權限界限套用至部署組態時建立的IAM角色。權限界限會限制Quick Setup建立的角色範圍。

此原則會授與允許Quick Setup部署一 AWS Config 致性套件的管理權限。

許可詳細資訊

此政策包含以下許可。

若要檢視有關策略的詳細資訊 (包括最新版本的JSON原則文件)，請參閱《AWS 受管理策略參考指南》AWSQuickSetupCFGCPacksPermissionsBoundary中的。

Systems ManagerAWS 受管理策略的更新

在下表中，檢視此服務自 2021 年 3 月 12 日開始追蹤這些變更以Systems Manager來 AWS 受管理政策的更新詳細資料。如需「系統管理員」服務之其他受管理原則的相關資訊，請參閱本主題系統管理員的其他受管 Systems Manager 原則稍後的部分。如需有關此頁面變更的自動警示，請訂閱Systems Manager文件歷史記錄頁面上的RSS摘要。

系統管理員的其他受管 Systems Manager 原則

除了本主題稍早描述的受管理原則之外，Systems Manager 也支援下列原則。