View a markdown version of this page

Automatisierungsübernahme-Rolle - AWS Systems Manager

• Das AWS Systems Manager CloudWatch Dashboard wird nach dem 30. April 2026 nicht mehr verfügbar sein. Kunden können die CloudWatch Amazon-Konsole weiterhin verwenden, um ihre CloudWatch Amazon-Dashboards anzuzeigen, zu erstellen und zu verwalten, so wie sie es heute tun. Weitere Informationen finden Sie in der Amazon CloudWatch Dashboard-Dokumentation.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Automatisierungsübernahme-Rolle

Die Automatisierungsübernahme-Rolle ist die Rolle, die Automation übernimmt, wenn es das Runbook ausführt, das eine virtuelle Azure-Maschine als verwalteten Knoten einbindet. Die Rolle kann die wichtigsten Systems Manager-APIs aufrufen, die für die Hybrid-Aktivierung benötigt werden. Sie kann auch eine Servicerolle an Systems Manager übergeben und die Azure-Verbundrolle übernehmen, um Azure-Anmeldeinformationen zu erhalten.

Muster des Rollennamens: SSM-AzureAssumeRole-connector-name-id8

Die Vertrauensrichtlinie ermöglicht es dem Systems Manager-Dienstprinzipal, die Rolle zu übernehmen, die auf Sie zugeschnitten ist. AWS-Konto Ersetzen Sie 123456789012 mit Ihrer AWS-Konto -ID.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                }
            }
        }
    ]
}

Die Berechtigungsrichtlinie gewährt die Aktionen, die Automation zur Ausführung der Onboarding-Runbooks benötigt. 123456789012Ersetzen Sie durch Ihre AWS-Konto ID, us-east-1 durch AWS-Region die, in der der Cloud Connector erstellt wurde, SSM-AzureRole-MyConnector-a1b2c3d4 durch den Namen der Azure-Verbundrolle, AmazonEC2RunCommandRoleForManagedInstances durch den Namen der verwalteten Instanzrolle, die an den Cloud Connector angehängt ist, und connector-id durch die ID des Cloud Connectors.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

  • ssm— Ermöglicht Automation, Hybrid-Aktivierungen (,,DescribeActivations) zu erstellen CreateActivationDeleteActivation, zu löschen und zu beschreiben; virtuelle Azure-Computer als verwaltete Knoten zu registrieren und ihren Status zu lesen (DescribeInstanceInformation); Aktivierungen und verwaltete Instanzen zu taggen (AddTagsToResource); das Installations-Runbook zu lesen (GetDocumentonAWS-InstallSSMAgentOnAzure); und die Cloud Connector-Konfiguration zu lesen (GetCloudConnector).

  • iam:PassRole— Ermöglicht Automation, bei der Registrierung einer virtuellen Azure-Maschine die Rolle der verwalteten Instanz an den Systems Manager zu übergeben. Die iam:PassedToService Bedingung beschränkt den Durchgang aufssm.amazonaws.com.

  • iam:ListRoleTags— Ermöglicht Automation, Tags auf der Azure-Verbundrolle zu lesen, um zu bestätigen, dass sie zum selben Cloud Connector gehört, bevor sie übernommen wird.

  • sts:AssumeRole— Ermöglicht Automation, die Azure-Verbundrolle zu übernehmen, um Azure-Anmeldeinformationen abzurufen.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::123456789012:role/service-role/SSM-AzureRole-MyConnector-a1b2c3d4"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonEC2RunCommandRoleForManagedInstances",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:CreateActivation",
                "ssm:DeleteActivation",
                "ssm:DescribeActivations",
                "ssm:DescribeInstanceInformation",
                "iam:ListRoleTags",
                "ssm:AddTagsToResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetDocument",
            "Resource": [
                "arn:aws:ssm:us-east-1:*:document/AWS-InstallSSMAgentOnAzure"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetCloudConnector",
            "Resource": "arn:aws:ssm:us-east-1:123456789012:cloud-connector/connector-id"
        }
    ]
}