Erstellen Sie Servicerollen für die Automatisierung mithilfe von AWS CloudFormation

Sie können eine Servicerolle für Automation, eine Fähigkeit von AWS Systems Manager, aus einer AWS CloudFormation Vorlage erstellen. Nachdem Sie die Servicerolle erstellt haben, können Sie die Servicerolle in Runbooks mit dem Parameter AutomationAssumeRole angeben.

Erstellen der Servicerolle mit AWS CloudFormation

Gehen Sie wie folgt vor, um die erforderliche Rolle AWS Identity and Access Management (IAM) für Systems Manager Automation zu erstellen, indem Sie AWS CloudFormation.

Erstellen der erforderlichen IAM-Rolle

1. Laden Sie die AWS-SystemsManager-AutomationServiceRole.zip-Datei herunter und entpacken Sie diese. Diese Datei enthält die AWS-SystemsManager-AutomationServiceRole.yaml AWS CloudFormation Vorlagendatei.

2. Öffnen Sie die AWS CloudFormation Konsole unter https://console.aws.amazon.com/cloudformation.

3. Wählen Sie Stapel erstellen aus.

4. Wählen Sie im Abschnitt Specify template (Vorlage angeben) die Option Upload a template file (Vorlagendatei hochladen) aus.

5. Wählen Sie Durchsuchen und wählen Sie dann die AWS-SystemsManager-AutomationServiceRole.yaml AWS CloudFormation Vorlagendatei aus.

6. Wählen Sie Weiter.

7. Geben Sie auf der Seite Specify Stack details (Stack-Details angeben) im Feld Stack name (Stack-Name) einen Namen ein.

8. Auf der Seite Configure stack options (Stack-Optionen konfigurieren) müssen Sie keine Auswahl treffen. Wählen Sie Weiter.

9. Scrollen Sie auf der Seite „Überprüfen“ nach unten und wählen Sie die Option Ich bestätige, dass AWS CloudFormation möglicherweise IAM Ressourcen erstellt werden.

10. Wählen Sie Create (Erstellen) aus.

CloudFormation zeigt den CREATEPROGRESS_IN_-Status für ungefähr drei Minuten an. Der Status ändert sich auf CREATE_, COMPLETE nachdem der Stack erstellt wurde und Ihre Rollen einsatzbereit sind.

Wichtig

Wenn Sie einen Automatisierungs-Workflow ausführen, der andere Dienste mithilfe einer AWS Identity and Access Management (IAM) -Servicerolle aufruft, beachten Sie, dass die Servicerolle so konfiguriert sein muss, dass sie berechtigt ist, diese Dienste aufzurufen. Diese Anforderung gilt für alle AWS Automation-Runbooks (AWS-*-Runbooks), wie zum Beispiel AWS-ConfigureS3BucketLogging, AWS-CreateDynamoDBBackup und AWS-RestartEC2Instance-Runbooks, um nur einige zu nennen. Diese Anforderung gilt auch für alle benutzerdefinierten Automatisierungs-Runbooks, die Sie erstellen und die andere mithilfe AWS-Services von Aktionen aufrufen, die andere Dienste aufrufen. Wenn Sie unter anderem aws:executeAwsApi-, aws:createStack- oder aws:copyImage-Aktionen verwenden, konfigurieren Sie die Dienstrolle mit der Berechtigung zum Aufrufen solcher Services. Sie können anderen Berechtigungen erteilen, AWS-Services indem Sie der Rolle eine IAM Inline-Richtlinie hinzufügen. Weitere Informationen finden Sie unter (Optional) Fügen Sie eine Inline-Automatisierungsrichtlinie oder eine vom Kunden verwaltete Richtlinie hinzu, um andere aufzurufen AWS-Services.

Kopieren von Rolleninformationen für Automation

Gehen Sie wie folgt vor, um Informationen über die Automations-Servicerolle aus der AWS CloudFormation Konsole zu kopieren. Sie müssen diese Rollen beim Verwenden eines Runbooks festlegen.

Anmerkung

Sie müssen keine Rolleninformationen mit diesen Schritten kopieren, wenn Sie die Runbooks AWS-UpdateLinuxAmi oder AWS-UpdateWindowsAmi ausführen. In diesen Runbook sind die erforderlichen Rollen bereits als Standardwerte festgelegt. Die in diesen Runbooks angegebenen Rollen verwenden IAM verwaltete Richtlinien.

Kopieren der Rollennamen

1. Öffnen Sie die AWS CloudFormation Konsole unter https://console.aws.amazon.com/cloudformation.

2. Wählen Sie den Stack name (Stack-Name) der Automation aus, den Sie im vorherigen Verfahren erstellt haben.

3. Wählen Sie die Registerkarte Resources (Ressourcen) aus.

4. Wählen Sie den Link Physical ID für AutomationServiceRole. In der IAM Konsole wird eine Zusammenfassung der Automations-Servicerolle angezeigt.

5. Kopieren Sie den Amazon-Ressourcennamen (ARN) neben Rolle ARN. Das ARN ähnelt dem Folgenden: arn:aws:iam::12345678:role/AutomationServiceRole

6. Fügen Sie das ARN in eine Textdatei ein, um es später zu verwenden.

Sie haben die Konfiguration der Automation-Servicerolle abgeschlossen. Sie können jetzt die Automatisierungsdienst-Rolle ARN in Ihren Runbooks verwenden.