View a markdown version of this page

Condivisione di documenti SSM - AWS Systems Manager
Best practice per documenti SSM condivisiBloccare la condivisione pubblica per i documenti SSMCondividi un documento SSM utilizzando AWS RAMCondividi un documento SSM utilizzando le autorizzazioni dell'accountUtilizzo di documenti SSM condivisi

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Condivisione di documenti SSM

Puoi condividere documenti AWS Systems Manager (SSM) con altri account nello stesso modo Regione AWS in due modi. Per la condivisione di nuovi documenti, consigliamo di utilizzare AWS Resource Access Manager (AWS RAM). Con la AWS RAM, puoi condividere un documento con un'intera organizzazione o unità organizzativa (OU) in AWS Organizzazioni o con singoli individui Account AWS. Puoi anche gestire tutte le tue condivisioni dalla console AWS RAM. Per ulteriori informazioni, consulta Condividi un documento SSM utilizzando AWS RAM.

Puoi condividere un documento anche utilizzando le autorizzazioni dell'account, il meccanismo di condivisione originale. Con le autorizzazioni dell'account, puoi modificare direttamente le autorizzazioni del documento per condividerlo privatamente con Account AWS ID specifici o pubblicamente con tutti. Account-permission la condivisione rimane supportata. Per ulteriori informazioni, consulta Condividi un documento SSM utilizzando le autorizzazioni dell'account.

Se condividi già documenti utilizzando le autorizzazioni dell'account, puoi migrare tali condivisioni nella RAM. AWS Per ulteriori informazioni, consulta Esegui la migrazione di un documento condiviso esistente su AWS RAM.

Non puoi condividere un documento pubblicamente e privatamente allo stesso tempo. Inoltre, non puoi utilizzare la condivisione della AWS RAM e la condivisione delle autorizzazioni dell'account (ModifyDocumentPermission) sullo stesso documento contemporaneamente.

avvertimento

Utilizzare documenti SSM condivisi solo se provengono da fonti attendibili. Quando utilizzi un documento condiviso, verificane attentamente i contenuti prima di utilizzarlo per comprendere come modificherà la configurazione dell'istanza. Per ulteriori informazioni sulle best practice per i documenti condivisi, consulta Best practice per documenti SSM condivisi.

Limitazioni

Quando si iniziano a utilizzare documenti SSM, tenere presente le seguenti restrizioni.

  • Soltanto il proprietario può condividere un documento.

  • I documenti possono essere condivisi con altri account solo nello stesso Regione AWS account. Cross-Region la condivisione non è supportata.

Importante

In Systems Manager, un documento Amazon-owned SSM è un documento creato e gestito da Amazon Web Services stesso. Amazon-ownedi documenti includono un prefisso come AWS-* nel nome del documento. Il proprietario del documento è considerato Amazon, non un account utente specifico al suo interno AWS. Questi documenti sono disponibili al pubblico e possono essere utilizzati da tutti.

Best practice per documenti SSM condivisi

Consulta le seguenti linee guida prima di condividere o utilizzare un documento condiviso.

Usa la AWS RAM per condividere documenti (consigliato)

Per la condivisione di nuovi documenti, consigliamo di utilizzare AWS Resource Access Manager (AWS RAM) anziché l'operazione ModifyDocumentPermission API. Quando condividi tramite AWS RAM, puoi condividere un documento con un'intera organizzazione o unità organizzativa (OU) in AWS Organizations invece di elencare Account AWS i singoli ID. Puoi anche gestire l'accesso con una policy basata sulle risorse e visualizzare e controllare tutte le tue condivisioni in un unico posto nella AWS console RAM. Per le fasi, consulta Condividi un documento SSM utilizzando AWS RAM. I documenti che condividi con Account AWS ID individuali utilizzando ModifyDocumentPermission sono ancora supportati. Per spostare un documento che già condividi AWS nella RAM, consultaEsegui la migrazione di un documento condiviso esistente su AWS RAM.

Rimuovi le informazioni sensibili

Rivedi attentamente il tuo documento AWS Systems Manager (SSM) e rimuovi tutte le informazioni sensibili. Ad esempio, verifica che il documento non includa AWS le tue credenziali. Se condividi un documento con utenti specifici, questi possono visualizzare le informazioni contenute nel documento. Se condividi un documento pubblicamente, tutti possono visualizzare le informazioni contenute nel documento.

Bloccare la condivisione pubblica per i documenti

Controlla tutti i documenti SSM condivisi pubblicamente nel tuo account e conferma se desideri continuare a condividerli. Per interrompere la condivisione di un documento con il pubblico, è necessario modificare l'impostazione delle autorizzazioni del documento come descritto nella sezione Modifica delle autorizzazioni per un documento condiviso di questo argomento. L'attivazione dell'impostazione di blocco della condivisione pubblica non ha effetto sui documenti che stai attualmente condividendo con il pubblico. A meno che il caso d'uso non richieda la condivisione pubblica, si consiglia di attivare l'impostazione Blocca condivisione pubblica per i documenti SSM nella sezione Preferenze della console Documenti di Systems Manager. L'attivazione di questa impostazione impedisce l'accesso indesiderato ai documenti SSM. L'impostazione Blocca condivisione pubblica è un'impostazione a livello di account che può differire per ogni Regione AWS.

Limitazione delle operazioni Run Command utilizzando una policy di attendibilità IAM

Crea una policy restrittiva AWS Identity and Access Management (IAM) per gli utenti che avranno accesso al documento. La policy IAM determina quali documenti SSM un utente può visualizzare nella console Amazon Elastic Compute Cloud (Amazon EC2) o chiamando ListDocuments utilizzando () o. AWS Command Line Interface AWS CLI AWS Tools for Windows PowerShell La policy limita inoltre le operazioni che l'utente può eseguire con i documenti SSM. Puoi creare una policy restrittiva in modo che un utente possa utilizzare solo documenti specifici. Per ulteriori informazioni, consulta Esempi di policy gestite dal cliente.

Fare attenzione quando si utilizzano documenti SSM condivisi

È importante verificare i contenuti di ogni documento condiviso, soprattutto nel caso di documenti pubblici, per comprendere i comandi che verranno eseguiti sulle istanze. L'esecuzione di un documento potrebbe avere ripercussioni negative, anche in modo non intenzionale. Se il documento fa riferimento a una rete esterna, verifica quest'ultima prima di utilizzare il documento.

Invia comandi utilizzando l'hash del documento

Quando condividi un documento, il sistema crea un Sha-256 hash e lo assegna al documento. Il sistema salva inoltre uno snapshot del contenuto del documento. Quando inviate un comando utilizzando un documento condiviso, potete specificare l'hash nel comando per assicurarvi che le seguenti condizioni siano vere:

  • Si sta eseguendo un comando dal documento di Systems Manager corretto

  • Il contenuto del documento non è stato modificato da quando è stato condiviso con l'utente.

Se l'hash non corrisponde al documento specificato o se il contenuto del documento condiviso è stato modificato, il comando restituisce un'eccezione InvalidDocument (Documento non valido). L'hash non è in grado di verificare il contenuto di un documento da percorsi esterni.

Utilizzare il parametro di interpolazione per migliorare la sicurezza

Per i parametri di tipo String nei documenti SSM, utilizza il parametro e il valore interpolationType": "ENV_VAR, per migliorare la sicurezza contro gli attacchi di iniezione di comandi trattando gli input dei parametri come stringhe letterali, invece di comandi potenzialmente eseguibili. In questo caso, l'agente crea una variabile di ambiente denominata SSM_parameter-name, che contiene il valore del parametro. Si consiglia di aggiornare tutti i documenti SSM esistenti che includono i parametri di tipo String, per includere "interpolationType": "ENV_VAR". Per ulteriori informazioni, consulta Scrittura del contenuto del documento SSM.

Bloccare la condivisione pubblica per i documenti SSM

Prima di iniziare, esamina tutti i documenti SSM condivisi pubblicamente in Account AWS e conferma se desideri continuare a condividerli. Per interrompere la condivisione di un documento SSM con il pubblico, è necessario modificare l'impostazione delle autorizzazioni del documento come descritto nella sezione Modifica delle autorizzazioni per un documento condiviso di questo argomento. L'attivazione dell'impostazione di blocco della condivisione pubblica non influisce sui documenti SSM che stai attualmente condividendo con il pubblico. Con l'impostazione di blocco della condivisione pubblica abilitata, non sarai in grado di condividere altri documenti SSM con il pubblico.

A meno che il caso d'uso non richieda l'attivazione della condivisione pubblica, consigliamo di attivare l'impostazione Blocca condivisione pubblica per i documenti SSM. L'attivazione di questa impostazione impedisce l'accesso indesiderato ai documenti SSM. L'impostazione di blocco della condivisione pubblica è un'impostazione a livello di account che può differire per ciascuno Regione AWS. Completare le seguenti attività per bloccare la condivisione pubblica di qualsiasi documento SSM attualmente in condivisione.

Blocca condivisione pubblica (console)

Bloccare la condivisione pubblica dei documenti SSM

  1. Apri la AWS Systems Manager console all'indirizzo https://console.aws.amazon.com/systems-manager/.

  2. Nel pannello di navigazione, scegli Documenti.

  3. Scegli Preferenze, quindi scegli Modifica nella sezione Blocca condivisione pubblica.

  4. Selezionare la casella Blocca condivisione pubblica, quindi scegli Salva.

Blocca condivisione pubblica (riga di comando)

Apri AWS Command Line Interface (AWS CLI) o AWS Tools for Windows PowerShell sul tuo computer locale ed esegui il seguente comando per bloccare la condivisione pubblica dei tuoi documenti SSM.

Linux & macOS
aws ssm update-service-setting  \
    --setting-id /ssm/documents/console/public-sharing-permission \
    --setting-value Disable \
    --region 'The Regione AWS you want to block public sharing in'
Windows
aws ssm update-service-setting ^
    --setting-id /ssm/documents/console/public-sharing-permission ^
    --setting-value Disable ^
    --region "The Regione AWS you want to block public sharing in"
PowerShell
Update-SSMServiceSetting `
    -SettingId /ssm/documents/console/public-sharing-permission `
    -SettingValue Disable `
    –Region The Regione AWS you want to block public sharing in

Confermare che il valore dell'impostazione sia stato aggiornato utilizzando il seguente comando.

Linux & macOS
aws ssm get-service-setting   \
    --setting-id /ssm/documents/console/public-sharing-permission \
    --region The Regione AWS you blocked public sharing in
Windows
aws ssm get-service-setting  ^
    --setting-id /ssm/documents/console/public-sharing-permission ^
    --region "The Regione AWS you blocked public sharing in"
PowerShell
Get-SSMServiceSetting `
    -SettingId /ssm/documents/console/public-sharing-permission `
    -Region The Regione AWS you blocked public sharing in

Limitazione dell'accesso per bloccare la condivisione pubblica con IAM

È possibile creare policy AWS Identity and Access Management (IAM) che impediscano agli utenti di modificare l'impostazione di blocco della condivisione pubblica. Ciò impedisce agli utenti di consentire l'accesso indesiderato ai documenti SSM.

Di seguito è riportato un esempio di policy IAM che impedisce agli utenti di aggiornare l'impostazione di blocco della condivisione pubblica. Per utilizzare questo esempio, è necessario sostituire l'ID dell'account Amazon Web Services di esempio con il proprio ID dell'account.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:UpdateServiceSetting",
            "Resource": "arn:aws:ssm:*:444455556666:servicesetting/ssm/documents/console/public-sharing-permission"
        }
    ]
}

Condividi un documento SSM utilizzando AWS RAM

AWS Resource Access Manager (AWS RAM) è il metodo consigliato per condividere documenti AWS Systems Manager (SSM). Con AWS RAM, si crea una condivisione di risorse che consente l'accesso al documento e si gestiscono tutte le condivisioni dalla console AWS RAM. Puoi condividere un documento SSM con i seguenti tre tipi di committenti:

  • Un'intera organizzazione in AWS Organizzazioni.

  • Un'unità organizzativa (OU) in AWS Organizzazioni.

  • Individuale Account AWS.

È possibile condividere un documento solo con account appartenenti allo stesso Regione AWS e solo il proprietario del documento può condividere un documento. Per ulteriori informazioni sulla condivisione con la AWS RAM, vedere Guida introduttiva alla AWS RAM nella Guida per l'utente di AWS Resource Access Manager.

Importante

Quando condividete un documento SSM utilizzando la AWS RAM, condividete tutte le versioni del documento, non solo la versione predefinita.

Nota

AWS La RAM supporta solo la condivisione privata. Per condividere un documento pubblicamente, utilizza Condividi un documento SSM utilizzando le autorizzazioni dell'account invece la procedura in.

Nota

Quando condividi un documento con un Account AWS utente esterno all'organizzazione, il consumatore deve accettare l'invito alla condivisione delle risorse nella AWS RAM prima di poter accedere al documento. Quando condividi all'interno di un'organizzazione in cui è abilitata la condivisione della AWS RAM, non è richiesto alcun invito e AWS RAM concede l'accesso automaticamente.

AWS Le quote di servizio RAM si applicano quando si condividono documenti SSM tramite RAM. AWS Per ulteriori informazioni, consulta Quote di servizio per la AWS RAM nella Guida per l'utente di AWS Resource Access Manager.

Per gestire una condivisione esistente (ad esempio, per aggiornare i principali o interrompere la condivisione di un documento condiviso tramite AWS RAM), vedi Utilizzo AWS delle risorse condivise nella Guida per l'utente di AWS Resource Access Manager.

Condividi un documento utilizzando AWS RAM (console)

Per condividere un documento utilizzando AWS RAM

  1. Apri la console AWS RAM all'indirizzo https://console.aws.amazon.com/ram/.

  2. Nel pannello di navigazione, scegli Condivisioni di risorse, quindi scegli Crea condivisione di risorse.

  3. In Nome, inserisci un nome per la condivisione delle risorse.

  4. In Risorse, scegli il tipo di risorsa SSM Documents, quindi seleziona il documento che desideri condividere.

  5. (Facoltativo) In Autorizzazioni gestite, esamina l'autorizzazione gestita che AWS RAM applica al documento condiviso.

  6. Scegli Avanti. In Principi, aggiungi l'organizzazione, le unità organizzative o con Account AWS cui desideri condividere. Per condividere con la tua organizzazione o un'unità organizzativa, devi abilitare la condivisione all'interno AWS delle organizzazioni.

  7. Scegli Avanti, rivedi le tue scelte, quindi scegli Crea condivisione di risorse.

Condividi un documento usando AWS RAM (riga di comando)

Apri AWS Command Line Interface (AWS CLI) o AWS Tools for Windows PowerShell sul tuo computer locale ed esegui il seguente comando per condividere un documento creando una condivisione di risorse AWS RAM. Per il --principals parametro, specificate un ARN dell'organizzazione, un ARN dell'unità organizzativa o un Account AWS ID.

Linux & macOS
aws ram create-resource-share \
    --name MyDocumentShare \
    --resource-arns arn:aws:ssm:region:account-id:document/document-name \
    --principals principal
Windows
aws ram create-resource-share ^
    --name MyDocumentShare ^
    --resource-arns arn:aws:ssm:region:account-id:document/document-name ^
    --principals principal
Nota

Dopo aver creato una condivisione, la AWS RAM potrebbe impiegare alcuni minuti per propagare la modifica prima che gli account di consumo possano vederla.

Esegui la migrazione di un documento condiviso esistente su AWS RAM

Se attualmente condividi un documento utilizzando le autorizzazioni dell'account (operazione ModifyDocumentPermission API), puoi migrarlo su una condivisione di risorse AWS RAM eseguendo il runbook. AWS-MigrateSSMDocumentSharingToRAM Questo runbook AWS di AWS Systems Manager Automation di proprietà migra un documento dalla condivisione delle autorizzazioni dell'account a una condivisione di risorse AWS RAM preservando i consumatori esistenti del documento.

Nota

L'esecuzione del AWS-MigrateSSMDocumentSharingToRAM runbook utilizza l'automazione, che comporta dei costi. AWS Systems Manager Per ulteriori informazioni, consulta Prezzi di AWS Systems Manager.

Nota

Non puoi migrare un documento condiviso pubblicamente, perché la AWS RAM supporta solo la condivisione privata. Se si specifica un documento condiviso pubblicamente, il runbook ha esito negativo. Se esegui la migrazione di tutti i documenti dell'account, il runbook salta i documenti condivisi pubblicamente. Per migrare un documento condiviso pubblicamente, interrompi prima la condivisione pubblica e poi condividilo con gli account, le unità organizzative (OU) o l'organizzazione che desideri.

Importante

Dopo aver eseguito la migrazione di un documento, è possibile gestirne la condivisione tramite AWS RAM. Le operazioni ModifyDocumentPermission e DescribeDocumentPermission API restituiscono un errore 4xx per un documento migrato. Se la migrazione fallisce o viene annullata, il runbook annulla automaticamente la modifica.

Per migrare un documento dalla relativa vista Autorizzazioni (console)

  1. Apri la AWS Systems Manager console e, nel riquadro di navigazione, scegli Documenti.

  2. Scegli il documento che desideri migrare.

  3. Seleziona la scheda Details (Dettagli).

  4. Nella sezione Autorizzazioni, scegli Migrate to RAM. Systems Manager apre la pagina Migrate to RAM, che consente di avviare la migrazione.

  5. Per la migrazione dei documenti, seleziona i documenti da migrare. Seleziona singoli documenti o scegli Tutti i documenti per migrare tutti i documenti dell'account che utilizza la condivisione delle autorizzazioni dell'account.

  6. Per AutomationAssumeRole, scegli il ruolo IAM che Systems Manager Automation assume per eseguire la migrazione.

  7. (Facoltativo) Per le unità organizzative, aggiungi un ID dell'organizzazione o un ID dell'unità organizzativa (OU) con cui condividere i documenti.

  8. Scegli Avvia migrazione.

Per l'elenco completo dei parametri, le autorizzazioni IAM richieste per il AutomationAssumeRole ruolo e le istruzioni dettagliate per l'esecuzione del runbook, consulta AWS-MigrateSSMDocumentSharingToRAM la guida di riferimento al runbook di Automation. AWS Systems Manager

Condividi un documento SSM utilizzando le autorizzazioni dell'account

Puoi condividere documenti AWS Systems Manager (SSM) modificando le autorizzazioni del documento per concedere l'accesso a Account AWS ID specifici (condivisione privata) o a tutti (condivisione pubblica). È possibile condividere documenti dalla console di Systems Manager o a livello di codice richiamando l'operazione ModifyDocumentPermission API utilizzando AWS Command Line Interface (AWS CLI) o l'SDK. AWS Tools for Windows PowerShell AWS Quando si condividono documenti dalla console, è possibile condividere solo la versione predefinita del documento. Prima di condividere un documento, recupera gli Account AWS ID degli account con cui desideri condividerlo. Specifica questi ID account quando condividi il documento.

Nota

Per la condivisione di nuovi documenti, consigliamo invece di utilizzare AWS Resource Access Manager (AWS RAM). Con la AWS RAM, puoi condividere con un'intera organizzazione o unità organizzativa e gestire tutte le tue condivisioni in un unico posto. Per ulteriori informazioni, consulta Condividi un documento SSM utilizzando AWS RAM.

Limitazioni

Tieni presente le seguenti limitazioni quando condividi un documento utilizzando le autorizzazioni dell'account.

  • Devi interrompere la condivisione di un documento prima di poterlo eliminare. Per ulteriori informazioni, consulta Modifica delle autorizzazioni per un documento condiviso.

  • Puoi condividere un documento con un massimo di 1.000 Account AWS. È possibile richiedere un aumento di questo limite nel Supporto Center. Per Limit type (Tipo di limite), scegliere EC2 Systems Manager e descrivere il motivo della richiesta.

  • È possibile condividere pubblicamente un massimo di cinque documenti SSM. È possibile richiedere un aumento di questo limite nel Supporto Center. Per Limit type (Tipo di limite), scegliere EC2 Systems Manager e descrivere il motivo della richiesta.

Per ulteriori informazioni sulle service quotas di Systems Manager, consulta AWS Systems Manager Service Quotas.

Condivisione di un documento (console)

  1. Apri la AWS Systems Manager console all'indirizzo https://console.aws.amazon.com/systems-manager/.

  2. Nel pannello di navigazione, scegli Documenti.

  3. Nell'elenco dei documenti, scegliere il documento che si desidera condividere, quindi selezionare View details (Visualizza dettagli). Nella scheda Permissions (Autorizzazioni), verificare di essere il proprietario del documento. Soltanto il proprietario di un documento può condividerlo.

  4. Scegli Modifica.

  5. Per condividere il comando pubblicamente, scegliere Public (Pubblico), quindi selezionare Save (Salva). Per condividere il comando privatamente, scegliere Private (Privato), inserire l'ID dell' Account AWS , selezionare Add permission (Aggiungi autorizzazione) e scegliere Save (Salva).

Condivisione di un documento (riga di comando)

La procedura seguente richiede di specificare una Regione AWS per la sessione a riga di comando.

  1. Aprire AWS CLI o AWS Tools for Windows PowerShell sul computer locale ed eseguire il comando seguente per specificare le credenziali.

    Nel comando seguente, sostituisci region con le tue informazioni. Per un elenco dei region valori supportati, vedere la colonna Regione negli endpoint del servizio Systems Manager in. Riferimenti generali di Amazon Web Services

    Linux & macOS
    aws config

AWS Access Key ID: [your key]
AWS Secret Access Key: [your key]
Default region name: region
Default output format [None]:
    Windows
    aws config

AWS Access Key ID: [your key]
AWS Secret Access Key: [your key]
Default region name: region
Default output format [None]:
    PowerShell
    Set-AWSCredentials –AccessKey your key –SecretKey your key
Set-DefaultAWSRegion -Region region

  2. Utilizzare il comando seguente per visualizzare le autorizzazioni per il documento.

    Linux & macOS
    aws ssm describe-document-permission \
    --name document name \
    --permission-type Share
    Windows
    aws ssm describe-document-permission ^
    --name document name ^
    --permission-type Share
    PowerShell
    Get-SSMDocumentPermission `
    –Name document name `
    -PermissionType Share

  3. Utilizzare il comando seguente per modificare le autorizzazioni per il documento e condividerlo. È necessario essere il proprietario del documento per modificare le autorizzazioni. Facoltativamente, per documenti condivisi con specifici ID Account AWS , è possibile specificare una versione del documento da condividere utilizzando il parametro --shared-document-version. Se non specifichi una versione, il sistema condivide la versione Default del documento. Se condividi un documento pubblicamente (con all), tutte le versioni del documento specificato vengono condivise per impostazione predefinita. Il seguente comando di esempio condivide privatamente il documento con una persona specifica, in base all'ID di Account AWS quella persona.

    Linux & macOS
    aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-add Account AWS ID
    Windows
    aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-add Account AWS ID
    PowerShell
    Edit-SSMDocumentPermission `
    –Name document name `
    -PermissionType Share `
    -AccountIdsToAdd Account AWS ID

  4. Utilizzare il comando seguente per condividere un documento pubblicamente.

    Nota

    Se condividi un documento pubblicamente (con all), tutte le versioni del documento specificato vengono condivise per impostazione predefinita.

    Linux & macOS
    aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-add 'all'
    Windows
    aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-add "all"
    PowerShell
    Edit-SSMDocumentPermission `
    -Name document name `
    -PermissionType Share `
    -AccountIdsToAdd ('all')

Modifica delle autorizzazioni per un documento condiviso

Se condividi un comando, gli utenti possono visualizzarlo e utilizzarlo finché non rimuovi l'accesso al documento AWS Systems Manager (SSM) o elimini il documento SSM. Tuttavia, non è possibile eliminare un documento finché è condiviso. Devi interrompere la condivisione prima di poterlo eliminare.

Nota

Questa sezione si applica ai documenti che hai condiviso utilizzando le autorizzazioni dell'account. Per gestire un documento che hai condiviso tramite AWS RAM, consultaCondividi un documento SSM utilizzando AWS RAM.

Interruzione della condivisione di un documento (console)

Interrompere la condivisione di un documento

  1. Apri la AWS Systems Manager console all'indirizzo https://console.aws.amazon.com/systems-manager/.

  2. Nel pannello di navigazione, scegli Documenti.

  3. Nell'elenco dei documenti, scegliere il documento di cui si desidera interrompere la condivisione, quindi selezionare Details (dettagli). Nella sezione Permissions (Autorizzazioni), verificare di essere il proprietario del documento. Soltanto il proprietario del documento può interromperne la condivisione.

  4. Scegli Modifica.

  5. Scegli X per eliminare l' Account AWS ID che non dovrebbe più avere accesso al comando, quindi scegli Salva.

Interruzione della condivisione di un documento (riga di comando)

Apri AWS CLI o AWS Tools for Windows PowerShell sul tuo computer locale ed esegui il comando seguente per interrompere la condivisione di un documento.

Linux & macOS
aws ssm modify-document-permission \
    --name document name \
    --permission-type Share \
    --account-ids-to-remove 'Account AWS ID'
Windows
aws ssm modify-document-permission ^
    --name document name ^
    --permission-type Share ^
    --account-ids-to-remove "Account AWS ID"
PowerShell
Edit-SSMDocumentPermission `
    -Name document name `
    -PermissionType Share `
    –AccountIdsToRemove Account AWS ID

Utilizzo di documenti SSM condivisi

Quando condividi un documento AWS Systems Manager (SSM), il sistema genera un Amazon Resource Name (ARN) e lo assegna al comando. Se si seleziona e si esegue un documento condiviso dalla console di Systems Manager, non si visualizza l'ARN. Tuttavia, se si desidera eseguire un documento SSM condiviso utilizzando un metodo diverso dalla console di Systems Manager, è necessario specificare l'ARN completo del documento per il parametro di richiesta DocumentName. L'ARN completo per un documento SSM viene mostrato quando si esegue il comando per elencare i documenti.

Nota

Non è necessario specificare gli ARN per i documenti AWS pubblici (documenti che iniziano conAWS-*) o i documenti di tua proprietà.

Utilizzare un documento SSM condiviso (riga di comando)

Per elencare tutti i documenti SSM pubblici

Linux & macOS
aws ssm list-documents \
    --filters Key=Owner,Values=Public
Windows
aws ssm list-documents ^
    --filters Key=Owner,Values=Public
PowerShell
$filter = New-Object Amazon.SimpleSystemsManagement.Model.DocumentKeyValuesFilter
$filter.Key = "Owner"
$filter.Values = "Public"

Get-SSMDocumentList `
    -Filters @($filter)

Per elencare i documenti SSM privati che sono stati condivisi con l'utente

Linux & macOS
aws ssm list-documents \
    --filters Key=Owner,Values=Private
Windows
aws ssm list-documents ^
    --filters Key=Owner,Values=Private
PowerShell
$filter = New-Object Amazon.SimpleSystemsManagement.Model.DocumentKeyValuesFilter
$filter.Key = "Owner"
$filter.Values = "Private"

Get-SSMDocumentList `
    -Filters @($filter)

Per elencare tutti i documenti SSM disponibili per l'utente

Linux & macOS
aws ssm list-documents
Windows
aws ssm list-documents
PowerShell
Get-SSMDocumentList

Per ottenere informazioni su un documento SSM che è stato condiviso con l'utente

Linux & macOS
aws ssm describe-document \
    --name arn:aws:ssm:us-east-2:12345678912:document/documentName
Windows
aws ssm describe-document ^
    --name arn:aws:ssm:us-east-2:12345678912:document/documentName
PowerShell
Get-SSMDocumentDescription `
    –Name arn:aws:ssm:us-east-2:12345678912:document/documentName

Per eseguire un documento SSM condiviso

Linux & macOS
aws ssm send-command \
    --document-name arn:aws:ssm:us-east-2:12345678912:document/documentName \
    --instance-ids ID
Windows
aws ssm send-command ^
    --document-name arn:aws:ssm:us-east-2:12345678912:document/documentName ^
    --instance-ids ID
PowerShell
Send-SSMCommand `
    –DocumentName arn:aws:ssm:us-east-2:12345678912:document/documentName `
    –InstanceIds ID