AWS verwaltete Richtlinien für Amazon Data Lifecycle Manager

Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet AWS wird. AWS Verwaltete Richtlinien sind so konzipiert, dass sie Berechtigungen für viele gängige Anwendungsfälle bereitstellen. AWS Mit verwalteten Richtlinien können Sie Benutzern, Gruppen und Rollen die entsprechenden Berechtigungen effizienter zuweisen, als wenn Sie die Richtlinien selbst schreiben müssten.

Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen jedoch nicht ändern. AWS aktualisiert gelegentlich die in einer AWS verwalteten Richtlinie definierten Berechtigungen. Diese Aktualisierung wirkt sich auf alle Prinzipal-Entitäten (Benutzer, Gruppen und Rollen) aus, an die die Richtlinie angefügt ist.

Amazon Data Lifecycle Manager bietet AWS verwaltete Richtlinien für allgemeine Anwendungsfälle. Diese Richtlinien erleichtern die Definition der geeigneten Berechtigungen und die Steuerung des Zugriffs auf Ihre Ressourcen. Die von Amazon Data Lifecycle Manager bereitgestellten AWS verwalteten Richtlinien sind so konzipiert, dass sie Rollen zugeordnet werden können, die Sie an Amazon Data Lifecycle Manager übergeben.

AWSDataLifecycleManagerServiceRole

Die AWSDataLifecycleManagerServiceRole Richtlinie gewährt Amazon Data Lifecycle Manager die entsprechenden Berechtigungen zur Erstellung und Verwaltung von Amazon EBS-Snapshot-Richtlinien und Kontenübergreifendem Kopieren von Ereignissen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateSnapshot",
                "ec2:CreateSnapshots",
                "ec2:DeleteSnapshot",
                "ec2:DescribeInstances",
                "ec2:DescribeVolumes",
                "ec2:DescribeSnapshots",
                "ec2:EnableFastSnapshotRestores",
                "ec2:DescribeFastSnapshotRestores",
                "ec2:DisableFastSnapshotRestores",
                "ec2:CopySnapshot",
                "ec2:ModifySnapshotAttribute",
                "ec2:DescribeSnapshotAttribute",
                "ec2:ModifySnapshotTier",
                "ec2:DescribeSnapshotTierStatus",
                "ec2:DescribeAvailabilityZones"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*::snapshot/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "events:PutRule",
                "events:DeleteRule",
                "events:DescribeRule",
                "events:EnableRule",
                "events:DisableRule",
                "events:ListTargetsByRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Resource": "arn:aws:events:*:*:rule/AwsDataLifecycleRule.managed-cwe.*"
        }
    ]
}

AWSDataLifecycleManagerServiceRoleForAMIManagement

Die AWSDataLifecycleManagerServiceRoleForAMIManagement Richtlinie gewährt Amazon Data Lifecycle Manager die entsprechenden Berechtigungen zur Erstellung und Verwaltung von Amazon EBS-backed AMI-Richtlinien.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*::snapshot/*",
                "arn:aws:ec2:*::image/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:DescribeInstances",
                "ec2:DescribeImageAttribute",
                "ec2:DescribeVolumes",
                "ec2:DescribeSnapshots"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DeleteSnapshot",
            "Resource": "arn:aws:ec2:*::snapshot/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:ResetImageAttribute",
                "ec2:DeregisterImage",
                "ec2:CreateImage",
                "ec2:CopyImage",
                "ec2:ModifyImageAttribute"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:EnableImageDeprecation",
                "ec2:DisableImageDeprecation"
            ],
            "Resource": "arn:aws:ec2:*::image/*"
        }
    ]
}

AWSDataLifecycleManagerSSMFullAccess

Berechtigt Amazon Data Lifecycle Manager dazu, die Systems-Manager-Aktionen auszuführen, die für die Ausführung von Vor- und Nach-Skripten auf allen Amazon-EC2-Instances erforderlich sind.

Wichtig

Die Richtlinie verwendet den Bedingungsschlüssel aws:ResourceTag, um den Zugriff auf bestimmte SSM-Dokumente einzuschränken, wenn Vor- und Nach-Skripte verwendet werden. Damit Amazon Data Lifecycle Manager auf die SSM-Dokumente zugreifen kann, müssen Sie sicherstellen, dass Ihre SSM-Dokumente mit gekennzeichnet sind. DLMScriptsAccess:true

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSSMReadOnlyAccess",
            "Effect": "Allow",
            "Action": [
                "ssm:GetCommandInvocation",
                "ssm:ListCommands",
                "ssm:DescribeInstanceInformation"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowTaggedSSMDocumentsOnly",
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand",
                "ssm:DescribeDocument",
                "ssm:GetDocument"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/DLMScriptsAccess": "true"
                }
            }
        },
        {
            "Sid": "AllowSpecificAWSOwnedSSMDocuments",
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand",
                "ssm:DescribeDocument",
                "ssm:GetDocument"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/AWSEC2-CreateVssSnapshot",
                "arn:aws:ssm:*:*:document/AWSSystemsManagerSAP-CreateDLMSnapshotForSAPHANA"
            ]
        },
        {
            "Sid": "AllowAllEC2Instances",
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:instance/*"
            ]
        }
    ]
}

AWS verwaltete Richtlinienaktualisierungen

AWS Dienste verwalten und aktualisieren AWS verwaltete Richtlinien. Sie können die Berechtigungen in AWS verwalteten Richtlinien nicht ändern. Dienste fügen einer AWS verwalteten Richtlinie gelegentlich zusätzliche Berechtigungen hinzu, um neue Funktionen zu unterstützen. Diese Art von Update betrifft alle Identitäten (Benutzer, Gruppen und Rollen), an welche die Richtlinie angehängt ist. Dienste aktualisieren eine AWS verwaltete Richtlinie am ehesten, wenn eine neue Funktion gestartet wird oder wenn neue Funktionen verfügbar werden. Dienste entfernen keine Berechtigungen aus einer AWS verwalteten Richtlinie, sodass durch Richtlinienaktualisierungen Ihre bestehenden Berechtigungen nicht beeinträchtigt werden.

Die folgende Tabelle enthält Einzelheiten zu den Aktualisierungen der AWS verwalteten Richtlinien für Amazon Data Lifecycle Manager, seit dieser Service mit der Erfassung dieser Änderungen begonnen hat. Um automatische Warnungen über Änderungen an dieser Seite erhalten, abonnieren Sie den RSS-Feed auf Dokumentenverlauf für das Amazon EBS-Benutzerhandbuch.

Änderungen	Beschreibung	Date
AWSDataLifecycleManagerServiceRole— Die Richtlinienberechtigungen wurden aktualisiert.	Amazon Data Lifecycle Manager hat die ec2:DescribeAvailabilityZones Aktion hinzugefügt, mit der Snapshot-Richtlinien die Erlaubnis erteilt werden, Informationen über lokale Zonen abzurufen.	16. Dezember 2024
AWSDataLifecycleManagerSSMFullAccess— Die Richtlinienberechtigungen wurden aktualisiert.	Die Richtlinie wurde aktualisiert, um anwendungskonsistente Snapshots für SAP HANA unter Verwendung des SSM-Dokuments AWSSystemsManagerSAP-CreateDLMSnapshotForSAPHANA zu unterstützen.	17. November 2023
AWSDataLifecycleManagerSSMFullAccess— Eine neue AWS verwaltete Richtlinie wurde hinzugefügt.	Amazon Data Lifecycle Manager hat die AWSDataLifecycleManagerSSMFullAccess AWS verwaltete Richtlinie hinzugefügt.	7. November 2023
AWSDataLifecycleManagerServiceRole— Es wurden Berechtigungen zur Unterstützung der Snapshot-Archivierung hinzugefügt.	In Amazon Data Lifecycle Manager wurden die Aktionen ec2:ModifySnapshotTier und ec2:DescribeSnapshotTierStatus der Berechtigung zum Erteilen von Snapshot-Richtlinien hinzugefügt, um Snapshots zu archivieren und den Archivierungsstatus für Snapshots zu überprüfen.	30. September 2022
AWSDataLifecycleManagerServiceRoleForAMIManagement— Es wurden Berechtigungen hinzugefügt, um die AMI-Abwertung zu unterstützen.	Amazon Data Lifecycle Manager hat die ec2:DisableImageDeprecation Aktionen ec2:EnableImageDeprecation und hinzugefügt, um AMI-Richtlinien die Erlaubnis zu erteilen, die EBS-backed AMI-Abwertung zu aktivieren und zu deaktivieren.	23. August 2021
Amazon Data Lifecycle Manager hat mit der Verfolgung von Änderungen begonnen	Amazon Data Lifecycle Manager hat damit begonnen, Änderungen für seine AWS verwalteten Richtlinien zu verfolgen.	23. August 2021