View a markdown version of this page

Freigeben von SSM-Dokumenten - AWS Systems Manager
Bewährte Methoden für freigegebene SSM-DokumenteÖffentliche Freigabe für SSM-Dokumente blockierenTeilen Sie ein SSM-Dokument mit AWS RAMTeilen Sie ein SSM-Dokument mithilfe von KontoberechtigungenVerwenden von freigegebenen SSM-Dokumenten

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Freigeben von SSM-Dokumenten

Sie können AWS Systems Manager (SSM-) Dokumente auf dieselbe AWS-Region Weise auf zwei Arten für andere Konten freigeben. Für die gemeinsame Nutzung neuer Dokumente empfehlen wir die Verwendung von AWS Resource Access Manager (AWS RAM). Mit AWS RAM können Sie ein Dokument mit einer ganzen Organisation oder Organisationseinheit (OU) in AWS Organizations oder mit einer einzelnen Person teilen AWS-Konten. Sie können alle Ihre Freigaben auch von der AWS RAM-Konsole aus verwalten. Weitere Informationen finden Sie unter Teilen Sie ein SSM-Dokument mit AWS RAM.

Sie können ein Dokument auch mithilfe von Kontoberechtigungen, dem ursprünglichen Freigabemechanismus, teilen. Mit Kontoberechtigungen ändern Sie die Dokumentberechtigungen direkt, um ein Dokument privat mit bestimmten AWS-Konto IDs oder öffentlich mit allen zu teilen. Account-permission Das Teilen wird weiterhin unterstützt. Weitere Informationen finden Sie unter Teilen Sie ein SSM-Dokument mithilfe von Kontoberechtigungen.

Wenn Sie bereits Dokumente mithilfe von Kontoberechtigungen teilen, können Sie diese Freigaben in den AWS Arbeitsspeicher migrieren. Weitere Informationen finden Sie unter Migrieren Sie ein vorhandenes geteiltes Dokument zu AWS RAM.

Sie können ein Dokument nicht gleichzeitig öffentlich und privat teilen. Sie können AWS RAM-Sharing und Account-Permission (ModifyDocumentPermission) -Sharing auch nicht gleichzeitig für dasselbe Dokument verwenden.

Warnung

Verwenden Sie freigegebene SSM-Dokumente nur, wenn sie aus vertrauenswürdigen Quellen stammen. Wenn Sie ein freigegebenes Dokument verwenden, überprüfen Sie den Inhalt des Dokuments sorgfältig, bevor Sie es verwenden, damit Sie verstehen, wie es die Konfiguration der Instance ändert. Weitere Informationen zu bewährten Methoden für freigegebene Dokumente finden Sie unter Bewährte Methoden für freigegebene SSM-Dokumente.

Einschränkungen

Beachten Sie die folgenden Einschränkungen, wenn Sie zum ersten Mal mit SSM-Dokumenten arbeiten.

  • Nur der Eigentümer eines Dokuments kann ein Dokument freigeben.

  • Dokumente können nur mit anderen Konten auf demselben AWS-Region Konto geteilt werden. Cross-Region Teilen wird nicht unterstützt.

Wichtig

In Systems Manager ist ein Amazon-owned SSM-Dokument ein Dokument, das von Amazon Web Services selbst erstellt und verwaltet wird. Amazon-ownedDokumente enthalten ein Präfix wie AWS-* im Dokumentnamen. Als Eigentümer des Dokuments gilt Amazon, nicht als ein bestimmtes Benutzerkonto innerhalb AWS. Diese Dokumente sind öffentlich zugänglich und können von allen verwendet werden.

Bewährte Methoden für freigegebene SSM-Dokumente

Überprüfen Sie die folgenden Richtlinien, bevor Sie ein Dokument freigeben oder ein gemeinsam genutztes Dokument verwenden.

Verwenden Sie AWS RAM, um Dokumente zu teilen (empfohlen)

Für die gemeinsame Nutzung neuer Dokumente empfehlen wir, AWS Resource Access Manager (AWS RAM) anstelle des ModifyDocumentPermission API-Vorgangs zu verwenden. Wenn Sie Dokumente über AWS RAM teilen, können Sie ein Dokument unter AWS Organisationen für eine gesamte Organisation oder Organisationseinheit (OU) freigeben, anstatt einzelne AWS-Konto IDs aufzulisten. Sie können den Zugriff auch mit einer ressourcenbasierten Richtlinie verwalten und alle Ihre Freigaben an einer Stelle in der AWS RAM-Konsole anzeigen und überprüfen. Informationen zu den erforderlichen Schritten finden Sie unter Teilen Sie ein SSM-Dokument mit AWS RAM. Dokumente, die Sie mithilfe einzelner AWS-Konto IDs gemeinsam nutzen, ModifyDocumentPermission werden weiterhin unterstützt. Informationen zum Verschieben eines Dokuments, das Sie bereits gemeinsam nutzen, in den AWS Arbeitsspeicher finden Sie unterMigrieren Sie ein vorhandenes geteiltes Dokument zu AWS RAM.

Entfernen sensibler Daten

Prüfen Sie Ihr AWS Systems Manager (SSM-) Dokument sorgfältig und entfernen Sie alle vertraulichen Informationen. Stellen Sie beispielsweise sicher, dass das Dokument Ihre AWS Anmeldeinformationen nicht enthält. Wenn Sie ein Dokument für bestimmten Personen freigeben, können die Informationen in dem Dokument anzeigen. Wenn Sie ein Dokument öffentlich freigeben, können beliebige Personen die Informationen in dem Dokument anzeigen.

Öffentliche Freigabe für Dokumente blockieren

Überprüfen Sie alle öffentlich geteilten SSM-Dokumente in Ihrem Konto und bestätigen Sie, ob Sie sie weiterhin teilen möchten. Um die gemeinsame Nutzung eines Dokuments für die Öffentlichkeit zu beenden, müssen Sie die Einstellung für die Dokumentberechtigungen wie im Modifizieren von Berechtigungen für ein freigegebenes SSM-Dokument-Abschnitt dieses Themas beschrieben ändern. Die Aktivierung der Einstellung „Öffentliches Teilen blockieren“ hat keine Auswirkungen auf Dokumente, die Sie derzeit für die Öffentlichkeit freigeben. Sofern Ihr Anwendungsfall nicht erfordert, dass Sie Dokumente öffentlich freigeben, empfehlen wir Ihnen, die Einstellung „Öffentliche Freigabe blockieren“ für Ihre SSM-Dokumente im Abschnitt Einstellungen der Systems-Manager-Dokumentenkonsole zu aktivieren. Wenn Sie diese Einstellung aktivieren, wird unerwünschter Zugriff auf Ihre SSM-Dokumente verhindert. Die Einstellung „Öffentliche Freigabe sperren“ ist eine Einstellung auf Kontoebene, die sich für jede AWS-Region unterscheiden kann.

Beschränken von Run Command-Aktionen mithilfe einer IAM-Vertrauensrichtlinie

Erstellen Sie eine restriktive Richtlinie AWS Identity and Access Management (IAM) für Benutzer, die Zugriff auf das Dokument haben werden. Die IAM-Richtlinie bestimmt, welche SSM-Dokumente ein Benutzer entweder in der Amazon Elastic Compute Cloud (Amazon EC2) -Konsole oder durch Aufrufen ListDocuments mit dem AWS Command Line Interface () oder sehen kann.AWS CLI AWS Tools for Windows PowerShell Die Richtlinie schränkt auch die Aktionen ein, die der Benutzer mit SSM-Dokumenten durchführen kann. Sie können eine restriktive Richtlinie erstellen, damit Benutzer nur bestimmte Dokumente verwenden können. Weitere Informationen finden Sie unter Beispiele für vom Kunden verwaltete Richtlinien.

Vorsicht bei der Verwendung freigegebener SSM-Dokumente

Überprüfen Sie den Inhalt jedes Dokuments, das für Sie freigegeben ist, insbesondere öffentliche Dokumente, um die Befehle zu verstehen, die über Ihre Instances ausgeführt werden. Ein Dokument kann absichtlich oder unbeabsichtigterweise negative Auswirkungen haben, wenn es ausgeführt wird. Wenn das Dokument auf ein externes Netzwerk verweist, überprüfen Sie die externe Quelle, bevor Sie das Dokument verwenden.

Versenden von Befehlen mit dem Dokument-Hash

Wenn Sie ein Dokument teilen, erstellt das System einen Sha-256 Hash und weist ihn dem Dokument zu. Das System speichert außerdem einen Snapshot des Dokumentinhalts. Wenn Sie einen Befehl mithilfe eines gemeinsam genutzten Dokuments senden, können Sie den Hash in Ihrem Befehl angeben, um sicherzustellen, dass die folgenden Bedingungen erfüllt sind:

  • Sie führen den Befehl über das richtige Systems Manager-Dokument aus.

  • Der Inhalt des Dokuments wurde nicht geändert, seit es für Sie freigegeben wurde.

Wenn der Hash nicht mit dem angegebenen Dokument übereinstimmt oder der Inhalt des freigegebenen Dokuments geändert wurde, löst der Befehl eine InvalidDocument-Ausnahmebedingung aus. Mit dem Hash können keine Dokumentinhalte von externen Standorten überprüft werden.

Verwenden des Interpolationsparameters, um die Sicherheit zu verbessern

Verwenden Sie für Parameter vom Typ String in Ihren SSM-Dokumenten den Parameter und den Wert interpolationType": "ENV_VAR, um die Sicherheit vor Befehlseinschleusungen zu erhöhen. Parametereingaben werden dadurch als Zeichenfolgeliterale und nicht als potenziell ausführbare Befehle behandelt. In diesem Fall erstellt der Agent eine Umgebungsvariable mit dem Namen SSM_parameter-name, die den Wert des Parameters enthält. Wir empfehlen, allen SSM-Dokumenten mit Parametern vom Typ String den Parameter "interpolationType": "ENV_VAR" hinzuzufügen. Weitere Informationen finden Sie unter Schreiben von SSM-Dokumentinhalt.

Öffentliche Freigabe für SSM-Dokumente blockieren

Bevor Sie beginnen, überprüfen Sie alle öffentlich freigegebenen SSM-Dokumente in Ihrem AWS-Konto und bestätigen Sie, ob Sie diese weiterhin freigeben möchten. Um die gemeinsame Nutzung eines SSM-Dokuments für die Öffentlichkeit zu beenden, müssen Sie die Einstellung für Dokumentberechtigungen wie im Modifizieren von Berechtigungen für ein freigegebenes SSM-Dokument-Abschnitt dieses Themas beschrieben ändern. Die Aktivierung der Einstellung „Öffentliches Teilen blockieren“ hat keine Auswirkungen auf SSM-Dokumente, die Sie derzeit für die Öffentlichkeit freigeben. Wenn die Einstellung „Öffentliches Teilen blockieren“ aktiviert ist, können Sie keine weiteren SSM-Dokumente mit der Öffentlichkeit teilen.

Sofern Ihr Anwendungsfall nicht erfordert, dass Sie Dokumente öffentlich freigeben, empfehlen wir Ihnen, die Einstellung „Öffentliche Freigabe blockieren“ für Ihre SSM-Dokumente zu aktivieren. Wenn Sie diese Einstellung aktivieren, wird unerwünschter Zugriff auf Ihre SSM-Dokumente verhindert. Die Einstellung „Öffentliches Teilen blockieren“ ist eine Einstellung auf Kontoebene, die für jedes Konto unterschiedlich sein kann AWS-Region. Führen Sie die folgenden Aufgaben aus, um die öffentliche Freigabe für alle SSM-Dokumente zu blockieren, die Sie derzeit nicht freigeben.

Öffentliche Freigabe blockieren (Konsole)

Blockieren der öffentlichen Freigabe Ihrer SSM-Dokumente

  1. Öffnen Sie die AWS Systems Manager Konsole unter https://console.aws.amazon.com/systems-manager/.

  2. Wählen Sie im Navigationsbereich die Option Dokumente aus.

  3. Wählen Sie Preferences (Präferenzen) und dann Edit (Bearbeiten) im Abschnitt Block public sharing (Öffentliche Freigabe blockieren) .

  4. Wählen Sie das Kontrollkästchen Block public sharing (Öffentliche Freigabe blockieren) und wählen Sie aus Save (speichern).

Öffentliche Freigabe blockieren (Befehlszeile)

Öffnen Sie das AWS Command Line Interface (AWS CLI) oder AWS Tools for Windows PowerShell auf Ihrem lokalen Computer und führen Sie den folgenden Befehl aus, um das öffentliche Teilen Ihrer SSM-Dokumente zu blockieren.

Linux & macOS
aws ssm update-service-setting  \
    --setting-id /ssm/documents/console/public-sharing-permission \
    --setting-value Disable \
    --region 'The AWS-Region you want to block public sharing in'
Windows
aws ssm update-service-setting ^
    --setting-id /ssm/documents/console/public-sharing-permission ^
    --setting-value Disable ^
    --region "The AWS-Region you want to block public sharing in"
PowerShell
Update-SSMServiceSetting `
    -SettingId /ssm/documents/console/public-sharing-permission `
    -SettingValue Disable `
    –Region The AWS-Region you want to block public sharing in

Überprüfen Sie, ob der Einstellungswert aktualisiert wurde, indem Sie den folgenden Befehl verwenden.

Linux & macOS
aws ssm get-service-setting   \
    --setting-id /ssm/documents/console/public-sharing-permission \
    --region The AWS-Region you blocked public sharing in
Windows
aws ssm get-service-setting  ^
    --setting-id /ssm/documents/console/public-sharing-permission ^
    --region "The AWS-Region you blocked public sharing in"
PowerShell
Get-SSMServiceSetting `
    -SettingId /ssm/documents/console/public-sharing-permission `
    -Region The AWS-Region you blocked public sharing in

Beschränken des Zugriffs zum Blockieren der öffentlichen Freigabe mit IAM

Sie können AWS Identity and Access Management (IAM-) Richtlinien erstellen, die Benutzer daran hindern, die Einstellung „Öffentliche Weitergabe blockieren“ zu ändern. Dadurch wird verhindert, dass Benutzer unerwünschten Zugriff auf Ihre SSM-Dokumente zulassen.

Nachfolgend finden Sie ein Beispiel für eine IAM-Richtlinie, die verhindert, dass Benutzer die Einstellung zum Blockieren der öffentlichen Freigabe zu aktualisieren. Um dieses Beispiel zu verwenden, müssen Sie die Beispiel-Konto-ID für Amazon Web Services durch Ihre eigene Konto-ID ersetzen.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:UpdateServiceSetting",
            "Resource": "arn:aws:ssm:*:444455556666:servicesetting/ssm/documents/console/public-sharing-permission"
        }
    ]
}

Teilen Sie ein SSM-Dokument mit AWS RAM

AWS Resource Access Manager (AWS RAM) ist die empfohlene Methode zum Teilen von Dokumenten AWS Systems Manager (SSM). Mit AWS RAM erstellen Sie eine Ressourcenfreigabe, die Zugriff auf Ihr Dokument gewährt, und Sie verwalten alle Ihre Freigaben von der AWS RAM-Konsole aus. Sie können ein SSM-Dokument mit den folgenden drei Typen von Prinzipalen teilen:

  • Eine gesamte Organisation in AWS Organisationen.

  • Eine Organisationseinheit (OU) in AWS Organisationen.

  • Individuell AWS-Konten.

Sie können ein Dokument nur mit Konten teilen, die sich dort befinden AWS-Region, und nur der Eigentümer des Dokuments kann ein Dokument teilen. Weitere Informationen zur gemeinsamen Nutzung mit AWS RAM finden Sie unter Erste Schritte mit AWS RAM im AWS Resource Access Manager-Benutzerhandbuch.

Wichtig

Wenn Sie ein SSM-Dokument mithilfe von AWS RAM gemeinsam nutzen, verwenden Sie alle Versionen des Dokuments gemeinsam, nicht nur die Standardversion.

Anmerkung

AWS RAM unterstützt nur das private Teilen. Um ein Dokument öffentlich zu teilen, verwenden Sie Teilen Sie ein SSM-Dokument mithilfe von Kontoberechtigungen stattdessen das Verfahren in.

Anmerkung

Wenn Sie ein Dokument mit einer Person teilen AWS-Konto , die sich außerhalb Ihrer Organisation befindet, muss der Benutzer die Einladung zur gemeinsamen Nutzung von Ressourcen im AWS RAM annehmen, bevor er auf das Dokument zugreifen kann. Wenn Sie Inhalte innerhalb einer Organisation teilen, in der die gemeinsame Nutzung von AWS RAM aktiviert ist, ist keine Einladung erforderlich, und AWS RAM gewährt den Zugriff automatisch.

AWS RAM-Dienstkontingente gelten, wenn Sie SSM-Dokumente über AWS RAM gemeinsam nutzen. Weitere Informationen finden Sie unter Dienstkontingente für AWS RAM im AWS Resource Access Manager-Benutzerhandbuch.

Informationen zur Verwaltung einer vorhandenen Freigabe (z. B. um Hauptbenutzer zu aktualisieren oder die gemeinsame Nutzung eines Dokuments zu beenden, das Sie über AWS RAM geteilt haben), finden Sie unter Arbeiten mit gemeinsam genutzten AWS Ressourcen im AWS Resource Access Manager-Benutzerhandbuch.

Teilen Sie ein Dokument mit AWS RAM (Konsole)

Um ein Dokument zu teilen mit AWS RAM

  1. Öffnen Sie die AWS RAM-Konsole unter https://console.aws.amazon.com/ram/.

  2. Wählen Sie im Navigationsbereich Resource Shares und dann Create resource share aus.

  3. Geben Sie unter Name einen Namen für die Ressourcenfreigabe ein.

  4. Wählen Sie unter Ressourcen den Ressourcentyp SSM-Dokumente aus, und wählen Sie dann das Dokument aus, das Sie teilen möchten.

  5. (Optional) Überprüfen Sie unter Verwaltete Berechtigungen die verwaltete Berechtigung, die AWS RAM auf das geteilte Dokument anwendet.

  6. Wählen Sie Weiter aus. Fügen Sie unter Principals die Organisation, die Organisationseinheiten oder die Organisation hinzu, für AWS-Konten die Sie das Dokument freigeben möchten. Um Inhalte mit Ihrer Organisation oder einer Organisationseinheit zu teilen, müssen Sie die gemeinsame Nutzung innerhalb von AWS Organisationen aktivieren.

  7. Wählen Sie Weiter, überprüfen Sie Ihre Auswahl und wählen Sie dann Ressourcenfreigabe erstellen aus.

Teilen Sie ein Dokument mit AWS RAM (Befehlszeile)

Öffnen Sie AWS Command Line Interface (AWS CLI) oder AWS Tools for Windows PowerShell auf Ihrem lokalen Computer und führen Sie den folgenden Befehl aus, um ein Dokument gemeinsam zu nutzen, indem Sie eine AWS RAM-Ressourcenfreigabe erstellen. Geben Sie für den --principals Parameter eine Organisations-ARN, eine OU-ARN oder eine AWS-Konto ID an.

Linux & macOS
aws ram create-resource-share \
    --name MyDocumentShare \
    --resource-arns arn:aws:ssm:region:account-id:document/document-name \
    --principals principal
Windows
aws ram create-resource-share ^
    --name MyDocumentShare ^
    --resource-arns arn:aws:ssm:region:account-id:document/document-name ^
    --principals principal
Anmerkung

Nachdem Sie eine Freigabe erstellt haben, kann es einige Minuten dauern, bis der AWS Arbeitsspeicher die Änderung überträgt, bevor nutzende Konten sie sehen können.

Migrieren Sie ein vorhandenes geteiltes Dokument zu AWS RAM

Wenn Sie derzeit ein Dokument mithilfe von Kontoberechtigungen teilen (der ModifyDocumentPermission API-Vorgang), können Sie es zu einer AWS RAM-Ressourcenfreigabe migrieren, indem Sie das Runbook ausführen. AWS-MigrateSSMDocumentSharingToRAM Dieses AWS AWS Systems Manager Automatisierungs-Runbook migriert ein Dokument von der gemeinsamen Nutzung von Kontoberechtigungen zu einer AWS RAM-Ressourcenfreigabe, wobei die vorhandenen Benutzer des Dokuments erhalten bleiben.

Anmerkung

Beim Ausführen des AWS-MigrateSSMDocumentSharingToRAM Runbooks wird Automation verwendet AWS Systems Manager , wofür Gebühren anfallen. Weitere Informationen finden Sie unter AWS Systems Manager Preise.

Anmerkung

Sie können ein öffentlich geteiltes Dokument nicht migrieren, da AWS RAM nur das private Teilen unterstützt. Wenn Sie ein öffentlich geteiltes Dokument angeben, schlägt das Runbook fehl. Wenn Sie alle Dokumente im Konto migrieren, überspringt das Runbook öffentlich geteilte Dokumente. Um ein öffentlich geteiltes Dokument zu migrieren, beenden Sie zunächst die öffentliche Freigabe und geben Sie es dann für die gewünschten Konten, Organisationseinheiten (OUs) oder Organisationen frei.

Wichtig

Nachdem Sie ein Dokument migriert haben, verwalten Sie die gemeinsame Nutzung dieses Dokuments über den AWS Arbeitsspeicher. Die Operationen ModifyDocumentPermission und DescribeDocumentPermission API geben einen 4xx-Fehler für ein migriertes Dokument zurück. Wenn die Migration fehlschlägt oder abgebrochen wird, macht das Runbook die Änderung automatisch rückgängig.

Um ein Dokument aus seiner Berechtigungsansicht (Konsole) zu migrieren

  1. Öffnen Sie die AWS Systems Manager Konsole und wählen Sie im Navigationsbereich Dokumente aus.

  2. Wählen Sie das Dokument aus, das Sie migrieren möchten.

  3. Wählen Sie die Registerkarte Details.

  4. Wählen Sie im Abschnitt Berechtigungen die Option Zu RAM migrieren aus. Systems Manager öffnet die Seite „Zu RAM migrieren“, auf der Sie die Migration starten können.

  5. Wählen Sie unter Zu migrierende Dokumente die zu migrierenden Dokumente aus. Wählen Sie einzelne Dokumente aus oder wählen Sie Alle Dokumente aus, um alle Dokumente in dem Konto zu migrieren, das die gemeinsame Nutzung von Kontoberechtigungen verwendet.

  6. Wählen Sie für AutomationAssumeRole die IAM-Rolle aus, die Systems Manager Automation annimmt, um die Migration auszuführen.

  7. (Optional) Fügen Sie für Organisationseinheiten eine Organisations-ID oder eine ID der Organisationseinheit (OU) hinzu, mit der Sie die Dokumente teilen möchten.

  8. Wählen Sie Migration starten aus.

Die vollständige Liste der Parameter, die für die AutomationAssumeRole Rolle erforderlichen IAM-Berechtigungen und eine schrittweise Anleitung zum Ausführen des Runbooks finden Sie AWS-MigrateSSMDocumentSharingToRAM in der Referenz zum AWS Systems Manager Automatisierungs-Runbook.

Teilen Sie ein SSM-Dokument mithilfe von Kontoberechtigungen

Sie können Dokumente teilen AWS Systems Manager (SSM), indem Sie die Dokumentberechtigungen ändern, um bestimmten AWS-Konto IDs (privates Teilen) oder allen Benutzern (öffentliches Teilen) Zugriff zu gewähren. Sie können Dokumente über die Systems Manager-Konsole oder programmgesteuert teilen, indem Sie den ModifyDocumentPermission API-Vorgang mithilfe von AWS Command Line Interface (AWS CLI) oder dem SDK AWS Tools for Windows PowerShell aufrufen. AWS Wenn Sie Dokumente von der Konsole aus teilen, können Sie nur die Standardversion des Dokuments teilen. Bevor Sie ein Dokument teilen, rufen Sie die AWS-Konto IDs der Konten ab, mit denen Sie es teilen möchten. Geben Sie diese Konto-IDs an, wenn Sie das Dokument teilen.

Anmerkung

Für die gemeinsame Nutzung neuer Dokumente empfehlen wir, stattdessen AWS Resource Access Manager (AWS RAM) zu verwenden. Mit AWS RAM können Sie Inhalte mit einer ganzen Organisation oder Organisationseinheit teilen und all Ihre Freigaben an einem Ort verwalten. Weitere Informationen finden Sie unter Teilen Sie ein SSM-Dokument mit AWS RAM.

Einschränkungen

Beachten Sie die folgenden Einschränkungen, wenn Sie ein Dokument mithilfe von Kontoberechtigungen teilen.

  • Sie müssen die Freigabe eines Dokuments aufheben, bevor Sie ein Dokument löschen können. Weitere Informationen finden Sie unter Modifizieren von Berechtigungen für ein freigegebenes SSM-Dokument.

  • Sie können ein Dokument mit maximal 1.000 Personen teilen AWS-Konten. Sie können über das Support Center eine Erhöhung dieses Limits anfordern. Wählen Sie unter Limittyp die Option EC2 Systems Manager aus und beschreiben Sie die Gründe für die Anforderung.

  • Sie können maximal fünf SSM-Dokumente öffentlich freigeben. Sie können über das Support Center eine Erhöhung dieses Limits anfordern. Wählen Sie unter Limittyp die Option EC2 Systems Manager aus und beschreiben Sie die Gründe für die Anforderung.

Weitere Informationen zu Service Quotas für Systems Manager finden Sie unter AWS Systems Manager Service Quotas.

Freigeben eines Dokuments (Konsole)

  1. Öffnen Sie die AWS Systems Manager Konsole unter https://console.aws.amazon.com/systems-manager/.

  2. Wählen Sie im Navigationsbereich die Option Dokumente aus.

  3. Wählen Sie in der Dokumentenliste das Dokument aus, das Sie freigeben möchten, und klicken Sie dann auf View details (Details anzeigen). Überprüfen Sie dann auf der Registerkarte Permissions, ob Sie der Besitzer des Dokuments sind. Nur der Eigentümer eines Dokuments kann ein Dokument freigeben.

  4. Wählen Sie Bearbeiten aus.

  5. Um den Befehl öffentlich freizugeben, wählen Sie Public und dann die Option Save. Wählen Sie zur privaten Freigabe des Befehls die Option Private aus, geben Sie die AWS-Konto -ID ein und wählen Sie Add permission sowie anschließend die Option Save aus.

Freigeben eines Dokuments (Befehlszeile)

Das folgende Verfahren erfordert, dass Sie eine AWS-Region für Ihre Befehlszeilensitzung angeben.

  1. Öffnen Sie das AWS CLI oder AWS Tools for Windows PowerShell auf Ihrem lokalen Computer und führen Sie den folgenden Befehl aus, um Ihre Anmeldeinformationen anzugeben.

    Ersetzen Sie im folgenden Befehl region durch Ihre eigenen Informationen. Eine Liste der unterstützten region Werte finden Sie in der Spalte Region der Systems Manager-Dienstendpunkte im Allgemeine Amazon Web Services-Referenz.

    Linux & macOS
    aws config

AWS Access Key ID: [your key]
AWS Secret Access Key: [your key]
Default region name: region
Default output format [None]:
    Windows
    aws config

AWS Access Key ID: [your key]
AWS Secret Access Key: [your key]
Default region name: region
Default output format [None]:
    PowerShell
    Set-AWSCredentials –AccessKey your key –SecretKey your key
Set-DefaultAWSRegion -Region region

  2. Verwenden Sie den folgenden Befehl, um die Zugriffsberechtigungen für das Dokument anzuzeigen.

    Linux & macOS
    aws ssm describe-document-permission \
    --name document name \
    --permission-type Share
    Windows
    aws ssm describe-document-permission ^
    --name document name ^
    --permission-type Share
    PowerShell
    Get-SSMDocumentPermission `
    –Name document name `
    -PermissionType Share

  3. Verwenden Sie den folgenden Befehl, um die Zugriffsberechtigungen für das Dokument zu ändern und das Dokument freizugeben. Sie müssen der Eigentümer des Dokuments sein, um die Berechtigungen bearbeiten zu können. Optional können Sie für mit bestimmten AWS-Konto -IDs freigegebene Dokumente mithilfe des --shared-document-version-Parameters eine Version des Dokuments angeben, die Sie freigeben möchten. Wenn Sie keine Version angeben, gibt das System die Default-Version des Dokuments frei. Wenn Sie ein Dokument öffentlich (mit all) teilen, werden standardmäßig alle Versionen des angegebenen Dokuments geteilt. Mit dem folgenden Beispielbefehl wird das Dokument privat für eine bestimmte Person freigegeben, basierend auf der AWS-Konto ID dieser Person.

    Linux & macOS
    aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-add AWS-Konto ID
    Windows
    aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-add AWS-Konto ID
    PowerShell
    Edit-SSMDocumentPermission `
    –Name document name `
    -PermissionType Share `
    -AccountIdsToAdd AWS-Konto ID

  4. Verwenden Sie den folgenden Befehl, um ein Dokument öffentlich freizugeben.

    Anmerkung

    Wenn Sie ein Dokument öffentlich (mit all) teilen, werden standardmäßig alle Versionen des angegebenen Dokuments geteilt.

    Linux & macOS
    aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-add 'all'
    Windows
    aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-add "all"
    PowerShell
    Edit-SSMDocumentPermission `
    -Name document name `
    -PermissionType Share `
    -AccountIdsToAdd ('all')

Modifizieren von Berechtigungen für ein freigegebenes SSM-Dokument

Wenn Sie einen Befehl gemeinsam nutzen, können Benutzer diesen Befehl anzeigen und verwenden, bis Sie entweder den Zugriff auf das AWS Systems Manager (SSM) -Dokument aufheben oder das SSM-Dokument löschen. Sie können ein Dokument jedoch erst löschen, wenn es nicht mehr freigegeben ist. Sie müssen also zuerst die Freigabe beenden und können erst anschließend die Datei löschen.

Anmerkung

Dieser Abschnitt bezieht sich auf Dokumente, die Sie mithilfe von Kontoberechtigungen geteilt haben. Informationen zur Verwaltung eines Dokuments, das Sie über AWS RAM geteilt haben, finden Sie unterTeilen Sie ein SSM-Dokument mit AWS RAM.

Beenden der Freigabe eines Dokuments (Konsole)

Beenden der Freigabe eines Dokuments

  1. Öffnen Sie die AWS Systems Manager Konsole unter https://console.aws.amazon.com/systems-manager/.

  2. Wählen Sie im Navigationsbereich die Option Dokumente aus.

  3. Wählen Sie in der Dokumentenliste das Dokument aus, dessen Freigabe Sie beenden möchten, und klicken Sie dann auf Details anzeigen. Überprüfen Sie dann auf der Registerkarte Berechtigungen, ob Sie der Besitzer des Dokuments sind. Nur der Eigentümer eines Dokuments kann die Freigabe eines Dokuments beenden.

  4. Wählen Sie Bearbeiten aus.

  5. Wählen Sie X, um die AWS-Konto ID zu löschen, die keinen Zugriff mehr auf den Befehl haben soll, und wählen Sie dann Speichern.

Beenden der Freigabe eines Dokuments (Befehlszeile)

Öffnen Sie AWS CLI oder AWS Tools for Windows PowerShell auf Ihrem lokalen Computer und führen Sie den folgenden Befehl aus, um die gemeinsame Nutzung eines Dokuments zu beenden.

Linux & macOS
aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-remove 'AWS-Konto ID'
Windows
aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-remove "AWS-Konto ID"
PowerShell
Edit-SSMDocumentPermission `
    -Name document name `
    -PermissionType Share `
    –AccountIdsToRemove AWS-Konto ID

Verwenden von freigegebenen SSM-Dokumenten

Wenn Sie ein AWS Systems Manager (SSM) -Dokument teilen, generiert das System einen Amazon-Ressourcennamen (ARN) und weist ihn dem Befehl zu. Wenn Sie ein freigegebenes Dokument über die Systems-Manager-Konsole auswählen und ausführen, wird der ARN nicht angezeigt. Wenn Sie jedoch ein freigegebenes SSM-Dokument mit einer anderen Methode als der Systems-Manager-Konsole ausführen möchten, müssen Sie den vollständigen ARN des Dokuments für den DocumentName-Anforderungsparameter angeben. Wenn Sie den Befehl zum Auflisten der Dokumente ausführen, wird jeweils der vollständige ARN für SSM-Dokumente angezeigt.

Anmerkung

Sie müssen keine ARNs für AWS öffentliche Dokumente (Dokumente, die mit beginnenAWS-*) oder Dokumente, die Ihnen gehören, angeben.

Verwenden eines freigegebenen SSM-Dokuments (Befehlszeile)

So listen Sie öffentliche SSM-Dokumente auf

Linux & macOS
aws ssm list-documents \
    --filters Key=Owner,Values=Public
Windows
aws ssm list-documents ^
    --filters Key=Owner,Values=Public
PowerShell
$filter = New-Object Amazon.SimpleSystemsManagement.Model.DocumentKeyValuesFilter
$filter.Key = "Owner"
$filter.Values = "Public"

Get-SSMDocumentList `
    -Filters @($filter)

So listen Sie private SSM-Dokumente auf, die für Sie freigegeben wurden

Linux & macOS
aws ssm list-documents \
    --filters Key=Owner,Values=Private
Windows
aws ssm list-documents ^
    --filters Key=Owner,Values=Private
PowerShell
$filter = New-Object Amazon.SimpleSystemsManagement.Model.DocumentKeyValuesFilter
$filter.Key = "Owner"
$filter.Values = "Private"

Get-SSMDocumentList `
    -Filters @($filter)

So listen Sie alle SSM-Dokumente auf, die für Sie verfügbar sind

Linux & macOS
aws ssm list-documents
Windows
aws ssm list-documents
PowerShell
Get-SSMDocumentList

So rufen Sie Informationen zu einem SSM-Dokument ab, das für Sie freigegeben wurde

Linux & macOS
aws ssm describe-document \
    --name arn:aws:ssm:us-east-2:12345678912:document/documentName
Windows
aws ssm describe-document ^
    --name arn:aws:ssm:us-east-2:12345678912:document/documentName
PowerShell
Get-SSMDocumentDescription `
    –Name arn:aws:ssm:us-east-2:12345678912:document/documentName

So führen Sie ein freigegebenes SSM-Dokument aus

Linux & macOS
aws ssm send-command \
    --document-name arn:aws:ssm:us-east-2:12345678912:document/documentName \
    --instance-ids ID
Windows
aws ssm send-command ^
    --document-name arn:aws:ssm:us-east-2:12345678912:document/documentName ^
    --instance-ids ID
PowerShell
Send-SSMCommand `
    –DocumentName arn:aws:ssm:us-east-2:12345678912:document/documentName `
    –InstanceIds ID