設定 Systems Manager 所需的執行個體許可

在 IAM 開啟 https://console.aws.amazon.com/iam/ 主控台。

在導覽窗格中，選擇 Policies (政策)，然後選擇 Create policy (建立政策)。

選擇 JSON 索引標籤，並以下列內容取代預設文字。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::aws-ssm-region/*",
                "arn:aws:s3:::aws-windows-downloads-region/*",
                "arn:aws:s3:::amazon-ssm-region/*",
                "arn:aws:s3:::amazon-ssm-packages-region/*",
                "arn:aws:s3:::region-birdwatcher-prod/*",
                "arn:aws:s3:::aws-ssm-distributor-file-region/*",
                "arn:aws:s3:::aws-ssm-document-attachments-region/*",
                "arn:aws:s3:::patch-baseline-snapshot-region/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl", 
                "s3:GetEncryptionConfiguration" 
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*",
                "arn:aws:s3:::amzn-s3-demo-bucket" 
            ]
        }
    ]
}

¹ 只有在您使用 VPC 端點時才需要第一個Statement元素。

² 唯有在 Systems Manager 操作中使用您建立的 S3 儲存貯體時，才需要第二個 Statement 元素。

³ 唯有在您計劃在其他帳戶中支援跨帳戶存取 S3 儲存貯體時，才需要 PutObjectAcl 存取控制清單許可。

⁴ 如果您的 S3 儲存貯體設定為使用加密，則需要 GetEncryptionConfiguration 元素。

⁵ 如果您的 S3 儲存貯體設定為使用加密，則 S3 儲存貯體根 (例如 arn:aws:s3:::amzn-s3-demo-bucket) 必須列在 Resource (資源) 區段中。您的使用者、群組或角色必須設定為可存取根儲存貯體。

如果您在操作中使用 VPC 端點，請執行下列動作：

在第一個Statement元素中，取代每個 region 具有 AWS 區域 此政策識別符的預留位置將用於 。例如，對於美國東部 (俄亥俄) 區域，使用 us-east-2。如需支援的清單 region 值，請參閱 中的 Systems Manager 服務端點中的區域欄Amazon Web Services 一般參考。

-或-

如果您在操作中未使用 VPC 端點，您可以刪除第一個Statement元素。

如果您在 Systems Manager 操作中使用自有的 S3 儲存貯體，請執行下列動作：

在第二個Statement元素中，取代 amzn-s3-demo-bucket 帳戶中 S3 儲存貯體的名稱。您將使用此儲存貯體來進行 Systems Manager 操作。它將使用 "arn:aws:s3:::my-bucket-name/*" 作為資源，為儲存貯體中的物件提供許可。如需有關為儲存貯體或儲存貯體中的物件提供許可的詳細資訊，請參閱 Amazon Simple Storage Service 使用者指南中的 Amazon S3 動作主題， AWS 以及部落格文章 IAM 政策和儲存貯體政策和 ACLs！ 天啊！(控制 S3 資源的存取權)。

"Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket1/*",
"arn:aws:s3:::amzn-s3-demo-bucket2/*"
               ]

-或-

如果您在 Systems Manager 操作中不是使用自有的 S3 儲存貯體，您可以刪除第二個 Statement 元素。

選擇下一步：標籤。

(選用) 透過選擇 Add tag (新增標籤)，然後輸入政策的首選標籤來新增標籤。

選擇下一步：檢閱。

對於 ​Name (名稱)，輸入識別此政策的名稱，例如 SSMInstanceProfileS3Policy。

選擇 建立政策。

登入 AWS Management Console 並在 EC2 開啟 Amazon https://console.aws.amazon.com/ec2/ 主控台。

在導覽窗格的 Instances (執行個體) 下方，選擇 Instances (執行個體)。

導覽至 並從清單中選擇您的 EC2 執行個體。

在動作功能表中，選擇安全性、修改 IAM 角色。

針對 IAM 角色，選取您使用 中的程序建立的執行個體設定檔EC2 執行個體許可的替代組態。

選擇更新 IAM 角色。