Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # `AWS-MigrateSSMDocumentSharingToRAM` Le `AWS-MigrateSSMDocumentSharingToRAM` runbook fait migrer un document Systems Manager vers un partage de ressources AWS Resource Access Manager (AWS RAM). Le document provient du partage des autorisations de compte, que vous gérez à l'aide de l'`ModifyDocumentPermission`API. La migration préserve les utilisateurs existants du document. Vous pouvez migrer un seul document. Vous pouvez également migrer tous les documents de votre compte qui utilisent le partage des autorisations de compte. Pour migrer tous les documents, spécifiez `*` le `DocumentName` paramètre. Le runbook annule automatiquement la migration en cas d'échec ou d'annulation, afin que votre configuration de partage existante soit restaurée. Nous vous recommandons de terminer la migration en utilisant la ** page ** Migrer vers la RAM de la AWS Systems Manager console. Cet assistant de migration sélectionne les documents à migrer et définit les paramètres du runbook pour vous, ce qui réduit les risques d'erreur. Pour les étapes à suivre, voir [ Pour migrer un document depuis sa vue Autorisations (console)](#automation-aws-migratessmdocumentsharingtoram-wizard). **Important** Après la migration d'un document vers AWS RAM, les opérations de l'`DescribeDocumentPermission`API `ModifyDocumentPermission` et renvoient une `4xx` erreur pour ce document. Après la migration, gérez le partage du document via AWS RAM. **Note** Avant d'exécuter ce runbook, vérifiez que le document cible utilise actuellement le partage des autorisations de compte et que vous avez configuré les autorisations IAM décrites dans cette rubrique. **Note** Vous ne pouvez pas migrer un document qui est partagé publiquement, car le AWS RAM partage privé est uniquement disponible. Si vous spécifiez un document partagé publiquement pour`DocumentName`, le runbook échoue. Si vous migrez tous les documents en spécifiant`*`, le runbook ignore les documents partagés publiquement. Pour migrer un document partagé publiquement, arrêtez tout d'abord de le partager publiquement, puis partagez-le avec les comptes, les unités organisationnelles (UO) ou l'organisation de votre choix.  Automatisation Amazon + **DocumentName (Obligatoire) : ** + Description : (Obligatoire) Nom du document Systems Manager à migrer. Spécifiez `*` de migrer tous les documents du compte qui utilisent le partage des autorisations de compte. + Type : `String` + **AutomationAssumeRole (Obligatoire) : ** + Description : (Obligatoire) Le nom de ressource Amazon (ARN) du rôle Gestion des identités et des accès AWS (IAM) qui permet à Systems Manager Automation d'effectuer les actions en votre nom. + Type : `String` + **OrganizationalUnits (Facultatif) : ** + Description : (Facultatif) Une carte entre le nom du document et une liste d'ID d'unité organisationnelle (`ou-*`) et d'ID d'organisation (`o-*`) avec lesquels partager le document. Utilisez la `*` touche pour définir une valeur par défaut pour les documents qui ne disposent pas de leur propre entrée. Lorsque vous fournissez ce paramètre pour un document, la migration accorde l'accès aux unités organisationnelles ou aux organisations spécifiées au lieu d'énumérer des comptes individuels. Cette approche : + Maintient une faible part de ressources. + Accorde automatiquement l'accès aux comptes qui rejoindront ultérieurement l'unité organisationnelle ou l'organisation. + Vous aide à rester en deçà de la AWS RAM limite de 5 000 associations principales par partage de ressources. + Type : `StringMap` [Exécutez cette automatisation (console) ](https://console.aws.amazon.com/systems-manager/automation/execute/AWS-MigrateSSMDocumentSharingToRAM) Le `AutomationAssumeRole` paramètre nécessite une politique de confiance et une politique d'autorisations. Joignez la politique de confiance suivante afin que Systems Manager Automation puisse assumer le rôle. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "ssm.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` Joignez la politique d'autorisations suivante. Les relevés sont organisés en trois groupes afin que vous ne puissiez accorder que les autorisations dont vous avez besoin pour votre migration. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "Group1AlwaysRequired", "Effect": "Allow", "Action": [ "ssm:DescribeDocumentPermission", "ssm:GetResourcePolicies", "ssm:PutResourcePolicy", "ssm:DeleteResourcePolicy", "ram:ListResources", "ram:GetResourceShares", "ram:PromoteResourceShareCreatedFromPolicy", "ram:DeleteResourceShare" ], "Resource": "*" }, { "Sid": "Group2BulkMigration", "Effect": "Allow", "Action": [ "ssm:ListDocuments", "ssm:StartAutomationExecution", "ssm:GetAutomationExecution" ], "Resource": "*" }, { "Sid": "Group2BulkMigrationPassRole", "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME", "Condition": { "StringEquals": { "iam:PassedToService": "ssm.amazonaws.com" } } }, { "Sid": "Group3OrganizationalUnits", "Effect": "Allow", "Action": [ "organizations:DescribeOrganization", "organizations:ListParents" ], "Resource": "*" } ] } ``` **Note** **Le groupe 1 ** est toujours requis, tant pour la migration de documents uniques que pour la migration en masse. **Le groupe 2 n'**est requis que pour la migration en masse (lorsque vous le spécifiez `*``DocumentName`). Pour la migration en masse, le runbook répertorie vos documents et lance une exécution automatique pour chaque document, en transmettant votre rôle à chaque exécution. Étendue `iam:PassRole` jusqu'à l'ARN du `AutomationAssumeRole` rôle, comme indiqué. Ne pas utiliser `"Resource": "*"` pour`iam:PassRole`. Remplacez `ACCOUNT_ID` et `ROLE_NAME` par votre identifiant de compte et votre nom de rôle. **Le groupe 3 ** est requis uniquement lorsque vous utilisez le `OrganizationalUnits` paramètre pour le partager avec des unités organisationnelles ou des organisations. La ** page ** Migrer vers la RAM définit les paramètres du runbook pour vous. 1. Ouvrez la AWS Systems Manager console et, dans le volet de navigation, choisissez ** Documents**. 1. Choisissez le document que vous souhaitez migrer. 1. Cliquez sur l’onglet **Détails**. 1. Dans la ** section ** Autorisations, choisissez ** Migrer vers la RAM**. Systems Manager ouvre la ** page ** Migrer vers la RAM, qui vous permet de définir les paramètres du `AWS-MigrateSSMDocumentSharingToRAM` runbook. 1. Pour les ** documents à migrer**, sélectionnez les documents à migrer. Sélectionnez des documents individuels ou choisissez ** Tous les documents ** pour migrer tous les documents du compte qui utilise le partage des autorisations de compte. Cela définit le `DocumentName` paramètre. 1. Pour ** AutomationAssumeRole**, choisissez le rôle IAM que Systems Manager Automation assume pour exécuter la migration. Cela définit le `AutomationAssumeRole` paramètre. 1. (Facultatif) Pour les unités ** organisationnelles**, ajoutez un ID d'organisation ou un ID d'unité d'organisation (OU) avec lequel partager les documents. Cela définit le `OrganizationalUnits` paramètre. 1. Choisissez ** Démarrer la migration ** pour exécuter le `AWS-MigrateSSMDocumentSharingToRAM` runbook. **Pour exécuter l'automatisation (console) ** 1. Ouvrez la AWS Systems Manager console et, dans le volet de navigation, choisissez ** Automation**. 1. Sélectionnez **Execute automation (Exécuter l'automatisation)**. 1. Dans la liste **Document Type (Type de document)**, sélectionnez `AWS-MigrateSSMDocumentSharingToRAM`. 1. Pour les paramètres d'entrée, entrez des valeurs pour `DocumentName` et`AutomationAssumeRole`, éventuellement`OrganizationalUnits`. 1. Sélectionnez **Execute (Exécuter)**. **Pour exécuter l'automatisation (AWS CLI) ** ``` aws ssm start-automation-execution \ --document-name AWS-MigrateSSMDocumentSharingToRAM \ --parameters '{"DocumentName":["MyDocument"],"AutomationAssumeRole":["arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"]}' ``` **Note** L'exécution de ce runbook utilise Systems Manager Automation et entraîne des frais. Pour en savoir plus, consultez [Pricing AWS Systems Manager](https://aws.amazon.com/systems-manager/pricing/) (Tarification). + [Partage de documents SSM ](https://docs.aws.amazon.com/systems-manager/latest/userguide/documents-ssm-sharing.html)