Instance-Registrierungsrichtlinien

Wichtig

AWS OpsWorks Stacks akzeptiert keine neuen Kunden mehr. Bestehende Kunden können die OpsWorks Konsole, API, CLI und CloudFormation Ressourcen bis zum 26. Mai 2024 normal nutzen. Zu diesem Zeitpunkt werden sie eingestellt. Um sich auf diesen Übergang vorzubereiten, empfehlen wir Ihnen, Ihre Stacks AWS Systems Manager so schnell wie möglich auf zu überführen. Weitere Informationen finden Sie unter AWS OpsWorks StacksHäufig gestellte Fragen zum Lebensende und Migrieren Sie Ihre AWS OpsWorks Stacks Anwendungen zu AWS Systems Manager Application Manager.

Die Richtlinien AWSOpsWorksRegisterCLI_EC2 und AWSOpsWorksRegisterCLI_OnPremises bieten die richtigen Berechtigungen zum Registrieren von EC2-Instances bzw. lokalen Instances. Sie fügen Ihrem IAM-Benutzer AWSOpsWorksRegisterCLI_EC2 hinzu, um EC2-Instances AWSOpsWorksRegisterCLI_OnPremises zu registrieren, aber Ihrem Benutzer hinzufügen, um On-Premises-Instances zu registrieren. Um diese Richtlinien verwenden zu können, müssen Sie mindestens Version 1.16.180 oder höher der AWS CLI ausführen.

Die Richtlinie AWSOpsWorksRegisterCLI_EC2

Fügen Sie AWSOpsWorksRegisterCLI_EC2 Ihrem Benutzer hinzu, um EC2-Instances zu registrieren. Sie sollten dieses Profil verwenden, wenn Sie vorhaben, ausschließlich EC2-Instances zu registrieren. Wenn Sie dieses Profil verwenden, werden Berechtigungen durch das Instance-Pofil der EC2-Instance erteilt.

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "opsworks:AssignInstance",
            "opsworks:CreateLayer",
            "opsworks:DeregisterInstance",
            "opsworks:DescribeInstances",
            "opsworks:DescribeStackProvisioningParameters",
            "opsworks:DescribeStacks",
            "opsworks:UnassignInstance"
          ],
          "Resource": [
            "*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "ec2:DescribeInstances"
          ],
          "Resource": [
            "*"
          ]
        }
      ]
    }

Die Richtlinie AWSOpsWorksRegisterCLI_OnPremises

Fügen Sie AWSOpsWorksRegisterCLI_OnPremises Ihrem Benutzer hinzu, um lokale Instances zu registrieren. Diese Richtlinie enthält IAM-Berechtigungen, wie z. B. AttachUserPolicy, aber die Ressourcen, für die diese Berechtigungen funktionieren, sind eingeschränkt.

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "opsworks:AssignInstance",
            "opsworks:CreateLayer",
            "opsworks:DeregisterInstance",
            "opsworks:DescribeInstances",
            "opsworks:DescribeStackProvisioningParameters",
            "opsworks:DescribeStacks",
            "opsworks:UnassignInstance"
          ],
          "Resource": [
            "*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "ec2:DescribeInstances"
          ],
          "Resource": [
            "*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "iam:CreateGroup",
            "iam:AddUserToGroup"
          ],
          "Resource": [
            "arn:aws:iam::*:group/AWS/OpsWorks/OpsWorks-*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "iam:CreateUser",
            "iam:CreateAccessKey"
          ],
          "Resource": [
            "arn:aws:iam::*:user/AWS/OpsWorks/OpsWorks-*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "iam:AttachUserPolicy"
          ],
          "Resource": [
            "arn:aws:iam::*:user/AWS/OpsWorks/OpsWorks-*"
          ],
          "Condition": {
            "ArnEquals": 
              {
                "iam:PolicyARN": "arn:aws:iam::aws:policy/AWSOpsWorksInstanceRegistration"
              }
            }
        }
      ]
    }

(Veraltet) Die Richtlinie AWSOpsWorksRegisterCLI

Wichtig

Die Richtlinie AWSOpsWorksRegisterCLI ist veraltet und kann nicht zum Registrieren von neuen Instances verwendet werden. Sie ist nur zwecks Abwärtskompatibilität auf Instances verfügbar, die bereits registriert wurden. Die AWSOpsWorksRegisterCLI Richtlinie enthält viele IAM-CreateUserBerechtigungen, einschließlich PutUserPolicy, und AddUserToGroup. Weil es sich hierbei um die Admin-Berechtigungen handelt, sollten Sie die Richtlinie AWSOpsWorksRegisterCLI nur vertrauenswürdigen Benutzern zuweisen.