Esempi di impostazione di politiche basate sull'identità - AWS Systems Manager
Esempio 1: consentire a un utente di eseguire un documento di automazione e visualizzare l'esecuzione dell'automazioneEsempio 2: consentire a un utente di eseguire una versione specifica di un documento di automazioneEsempio 3: consentire a un utente di eseguire documenti di automazione con un tag specificoEsempio 4: consente a un utente di eseguire un documento di automazione quando viene fornito un parametro di tag specifico per l'esecuzione dell'automazione

AWS Systems ManagerChange Managernon è più aperto a nuovi clienti. I clienti esistenti possono continuare a utilizzare il servizio normalmente. Per ulteriori informazioni, vedi modifica della AWS Systems ManagerChange Manager disponibilità.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di impostazione di politiche basate sull'identità

Le sezioni seguenti forniscono esempi di politiche basate sull'identità IAM per AWS Systems Manager il servizio di automazione. Per ulteriori informazioni su come creare una policy basata sull'identità IAM utilizzando questi esempi di documenti JSON Policy, consulta Creating IAM policies nella IAM User Guide.

Nota

Tutti gli esempi contengono account fittizi. IDs L'ID dell'account non deve essere specificato nell'Amazon Resource Name (ARN) per i documenti pubblici AWS di proprietà.

Esempi

Esempio 1: consentire a un utente di eseguire un documento di automazione e visualizzare l'esecuzione dell'automazione

La seguente policy IAM di esempio permette a un utente di eseguire queste operazioni:

  • Esegui il documento di automazione specificato nella politica. Il nome del documento è determinato dalla seguente voce:

    arn:aws:ssm:*:111122223333:document/{{DocumentName}}

  • Interrompi e invia segnali a un'esecuzione di automazione.

  • Visualizza i dettagli sull'esecuzione dell'automazione dopo che è stata avviata.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:document/{{DocumentName}}",
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ]
        },
        {
            "Action": [
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution",
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeAutomationStepExecutions",
                "ssm:SendAutomationSignal"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Esempio 2: consentire a un utente di eseguire una versione specifica di un documento di automazione

L'esempio seguente di policy IAM concede le autorizzazioni a un utente per eseguire l'esecuzione dell'automazione utilizzando una versione specifica di un documento di automazione:

  • Il nome del documento di automazione è determinato dalla seguente voce.

    arn:aws:ssm:*:111122223333:document/{{DocumentName}}

  • La versione del documento di automazione è determinata dalla seguente voce.

    "ssm:DocumentVersion": "5"
JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:document/{{DocumentName}}"
            ],
            "Condition": {
                "ForAnyValue:StringEquals": {
                   "ssm:DocumentVersion": ["5"]
                }
            }
        },
        {
            "Action": [
                "ssm:StartAutomationExecution"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution",
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeAutomationStepExecutions",
                "ssm:SendAutomationSignal"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Esempio 3: consentire a un utente di eseguire documenti di automazione con un tag specifico

Il seguente esempio di policy IAM consente a un utente di eseguire l'esecuzione dell'automazione utilizzando qualsiasi documento di automazione che abbia un tag specifico:

  • Il nome del documento di automazione è determinato dalla seguente voce.

    arn:aws:ssm:*:111122223333:document/{{DocumentName}}

  • Il tag del documento di automazione è determinato dalla seguente voce.

    "ssm:DocumentVersion": "5"
JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:document/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/stage": "production"
                }
            }
        },
        {
            "Action": [
                "ssm:StartAutomationExecution"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution",
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeAutomationStepExecutions",
                "ssm:SendAutomationSignal"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Esempio 4: consente a un utente di eseguire un documento di automazione quando viene fornito un parametro di tag specifico per l'esecuzione dell'automazione

L'esempio seguente di policy IAM concede le autorizzazioni a un utente per eseguire l'esecuzione dell'automazione utilizzando documenti di automazione quando viene fornito un parametro di tag specifico per l'esecuzione dell'automazione:

  • Esegui il documento di automazione specificato nella policy. Il nome del documento è determinato dalla seguente voce:

    arn:aws:ssm:*:111122223333:document/{{DocumentName}}

  • È necessario fornire un parametro di tag specifico per l'esecuzione dell'automazione. Il parametro tag per la risorsa di esecuzione dell'automazione è determinato dalla voce seguente.

    "aws:ResourceTag/stage": "production"

  • Interrompi e invia segnali alle esecuzioni di automazione che hanno il tag specificato.

  • Visualizza i dettagli sulle esecuzioni di automazione che hanno il tag specificato.

  • Aggiungi il tag specificato alle risorse SSM.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:document/{{DocumentName}}"
            ]
        },
        {
            "Action": [
                "ssm:StartAutomationExecution",
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution",
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeAutomationStepExecutions",
                "ssm:SendAutomationSignal"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/environment": "beta"
                }
            }
        },
        {
            "Action": "ssm:AddTagsToResource",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ]
        }
    ]
}