View a markdown version of this page

AWS-MigrateSSMDocumentSharingToRAM - AWS Systems Manager Référence du dossier d’exploitation Automation

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS-MigrateSSMDocumentSharingToRAM

Description

Le AWS-MigrateSSMDocumentSharingToRAM runbook fait migrer un document Systems Manager vers un partage de ressources AWS Resource Access Manager (AWS RAM). Le document provient du partage des autorisations de compte, que vous gérez à l'aide de l'ModifyDocumentPermissionAPI. La migration préserve les utilisateurs existants du document. Vous pouvez migrer un seul document. Vous pouvez également migrer tous les documents de votre compte qui utilisent le partage des autorisations de compte. Pour migrer tous les documents, spécifiez * le DocumentName paramètre.

Le runbook annule automatiquement la migration en cas d'échec ou d'annulation, afin que votre configuration de partage existante soit restaurée.

Nous vous recommandons de terminer la migration en utilisant la page Migrer vers la RAM de la AWS Systems Manager console. Cet assistant de migration sélectionne les documents à migrer et définit les paramètres du runbook pour vous, ce qui réduit les risques d'erreur. Pour les étapes à suivre, voir Pour migrer un document depuis sa vue Autorisations (console).

Important

Après la migration d'un document vers AWS RAM, les opérations de l'DescribeDocumentPermissionAPI ModifyDocumentPermission et renvoient une 4xx erreur pour ce document. Après la migration, gérez le partage du document via AWS RAM.

Note

Avant d'exécuter ce runbook, vérifiez que le document cible utilise actuellement le partage des autorisations de compte et que vous avez configuré les autorisations IAM décrites dans cette rubrique.

Note

Vous ne pouvez pas migrer un document qui est partagé publiquement, car le AWS RAM partage privé est uniquement disponible. Si vous spécifiez un document partagé publiquement pourDocumentName, le runbook échoue. Si vous migrez tous les documents en spécifiant*, le runbook ignore les documents partagés publiquement. Pour migrer un document partagé publiquement, arrêtez tout d'abord de le partager publiquement, puis partagez-le avec les comptes, les unités organisationnelles (UO) ou l'organisation de votre choix.

Type de document

 Automatisation

Propriétaire

Amazon

Parameters

  • DocumentName (Obligatoire) :

    • Description : (Obligatoire) Nom du document Systems Manager à migrer. Spécifiez * de migrer tous les documents du compte qui utilisent le partage des autorisations de compte.

    • Type : String

  • AutomationAssumeRole (Obligatoire) :

    • Description : (Obligatoire) Le nom de ressource Amazon (ARN) du rôle Gestion des identités et des accès AWS (IAM) qui permet à Systems Manager Automation d'effectuer les actions en votre nom.

    • Type : String

  • OrganizationalUnits (Facultatif) :

    • Description : (Facultatif) Une carte entre le nom du document et une liste d'ID d'unité organisationnelle (ou-*) et d'ID d'organisation (o-*) avec lesquels partager le document. Utilisez la * touche pour définir une valeur par défaut pour les documents qui ne disposent pas de leur propre entrée. Lorsque vous fournissez ce paramètre pour un document, la migration accorde l'accès aux unités organisationnelles ou aux organisations spécifiées au lieu d'énumérer des comptes individuels. Cette approche :

      • Maintient une faible part de ressources.

      • Accorde automatiquement l'accès aux comptes qui rejoindront ultérieurement l'unité organisationnelle ou l'organisation.

      • Vous aide à rester en deçà de la AWS RAM limite de 5 000 associations principales par partage de ressources.

    • Type : StringMap

Exécutez cette automatisation (console)

Autorisations IAM requises

Le AutomationAssumeRole paramètre nécessite une politique de confiance et une politique d'autorisations. Joignez la politique de confiance suivante afin que Systems Manager Automation puisse assumer le rôle.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Joignez la politique d'autorisations suivante. Les relevés sont organisés en trois groupes afin que vous ne puissiez accorder que les autorisations dont vous avez besoin pour votre migration.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Group1AlwaysRequired",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocumentPermission",
                "ssm:GetResourcePolicies",
                "ssm:PutResourcePolicy",
                "ssm:DeleteResourcePolicy",
                "ram:ListResources",
                "ram:GetResourceShares",
                "ram:PromoteResourceShareCreatedFromPolicy",
                "ram:DeleteResourceShare"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Group2BulkMigration",
            "Effect": "Allow",
            "Action": [
                "ssm:ListDocuments",
                "ssm:StartAutomationExecution",
                "ssm:GetAutomationExecution"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Group2BulkMigrationPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Sid": "Group3OrganizationalUnits",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListParents"
            ],
            "Resource": "*"
        }
    ]
}
Note

  • Le groupe 1 est toujours requis, tant pour la migration de documents uniques que pour la migration en masse.

  • Le groupe 2 n'est requis que pour la migration en masse (lorsque vous le spécifiez *DocumentName). Pour la migration en masse, le runbook répertorie vos documents et lance une exécution automatique pour chaque document, en transmettant votre rôle à chaque exécution. Étendue iam:PassRole jusqu'à l'ARN du AutomationAssumeRole rôle, comme indiqué. Ne pas utiliser "Resource": "*" pouriam:PassRole. Remplacez ACCOUNT_ID et ROLE_NAME par votre identifiant de compte et votre nom de rôle.

  • Le groupe 3 est requis uniquement lorsque vous utilisez le OrganizationalUnits paramètre pour le partager avec des unités organisationnelles ou des organisations.

Comment exécuter ce runbook
Pour migrer un document depuis sa vue Autorisations (console) (recommandé)

La page Migrer vers la RAM définit les paramètres du runbook pour vous.

  1. Ouvrez la AWS Systems Manager console et, dans le volet de navigation, choisissez Documents.

  2. Choisissez le document que vous souhaitez migrer.

  3. Cliquez sur l’onglet Détails.

  4. Dans la section Autorisations, choisissez Migrer vers la RAM. Systems Manager ouvre la page Migrer vers la RAM, qui vous permet de définir les paramètres du AWS-MigrateSSMDocumentSharingToRAM runbook.

  5. Pour les documents à migrer, sélectionnez les documents à migrer. Sélectionnez des documents individuels ou choisissez Tous les documents pour migrer tous les documents du compte qui utilise le partage des autorisations de compte. Cela définit le DocumentName paramètre.

  6. Pour AutomationAssumeRole, choisissez le rôle IAM que Systems Manager Automation assume pour exécuter la migration. Cela définit le AutomationAssumeRole paramètre.

  7. (Facultatif) Pour les unités organisationnelles, ajoutez un ID d'organisation ou un ID d'unité d'organisation (OU) avec lequel partager les documents. Cela définit le OrganizationalUnits paramètre.

  8. Choisissez Démarrer la migration pour exécuter le AWS-MigrateSSMDocumentSharingToRAM runbook.

Pour exécuter l'automatisation (console)

  1. Ouvrez la AWS Systems Manager console et, dans le volet de navigation, choisissez Automation.

  2. Sélectionnez Execute automation (Exécuter l'automatisation).

  3. Dans la liste Document Type (Type de document), sélectionnez AWS-MigrateSSMDocumentSharingToRAM.

  4. Pour les paramètres d'entrée, entrez des valeurs pour DocumentName etAutomationAssumeRole, éventuellementOrganizationalUnits.

  5. Sélectionnez Execute (Exécuter).

Pour exécuter l'automatisation (AWS CLI) 


aws ssm start-automation-execution \
    --document-name AWS-MigrateSSMDocumentSharingToRAM \
    --parameters '{"DocumentName":["MyDocument"],"AutomationAssumeRole":["arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"]}'
Note

L'exécution de ce runbook utilise Systems Manager Automation et entraîne des frais. Pour en savoir plus, consultez Pricing AWS Systems Manager (Tarification).

Pour plus d’informations