Freigeben von SSM-Dokumenten - AWS Systems Manager

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Freigeben von SSM-Dokumenten

Sie können AWS Systems Manager (SSM)-Dokumente privat oder öffentlich für Konten in derselben AWS-Region freigeben. Um ein Dokument privat freizugeben, ändern Sie die Dokumentberechtigungen und erlauben bestimmten Personen entsprechend ihrer AWS-Konto-ID den Zugriff darauf. Wenn Sie ein SSM-Dokument öffentlich freigeben möchten, ändern Sie die Zugriffsberechtigungen des Dokuments und geben All an. Dokumente können nicht gleichzeitig öffentlich und privat freigegeben werden.

Warnung

Verwenden Sie freigegebene SSM-Dokumente nur, wenn sie aus vertrauenswürdigen Quellen stammen. Wenn Sie ein freigegebenes Dokument verwenden, überprüfen Sie den Inhalt des Dokuments sorgfältig, bevor Sie es verwenden, damit Sie verstehen, wie es die Konfiguration der Instance ändert. Weitere Informationen zu bewährten Methoden für freigegebene Dokumente finden Sie unter Bewährte Methoden für freigegebene SSM-Dokumente.

Einschränkungen

Beachten Sie die folgenden Einschränkungen, wenn Sie zum ersten Mal mit SSM-Dokumenten arbeiten.

  • Nur der Eigentümer eines Dokuments kann ein Dokument freigeben.

  • Sie müssen die Freigabe eines Dokuments aufheben, bevor Sie ein Dokument löschen können. Weitere Informationen finden Sie unter Modifizieren von Berechtigungen für ein freigegebenes SSM-Dokument.

  • Sie können ein Dokument für maximal 1000 AWS-Konten freigeben. Sie können über das Support Center eine Erhöhung dieses Limits anfordern. Wählen Sie unter Limittyp die Option EC2 Systems Manager aus und beschreiben Sie die Gründe für die Anforderung.

  • Sie können maximal fünf SSM-Dokumente öffentlich freigeben. Sie können über das Support Center eine Erhöhung dieses Limits anfordern. Wählen Sie unter Limittyp die Option EC2 Systems Manager aus und beschreiben Sie die Gründe für die Anforderung.

  • Dokumente können nur für andere Konten in derselben AWS-Region freigegeben werden. Die Freigabe über Regionsgrenzen hinweg wird nicht unterstützt.

Wichtig

In Systems Manager ist ein zu Amazon gehörendes SSM-Dokument ein Dokument, das von Amazon Web Services selbst erstellt und verwaltet wird. Dokumente, die Amazon gehören, enthalten ein Präfix wie AWS-* im Dokumentnamen. Als Eigentümer des Dokuments gilt Amazon und nicht als ein bestimmtes Benutzerkonto innerhalb von AWS. Diese Dokumente sind öffentlich zugänglich und können von allen verwendet werden.

Weitere Informationen zu Service Quotas für Systems Manager finden Sie unter AWS Systems Manager Service Quotas.

Bewährte Methoden für freigegebene SSM-Dokumente

Überprüfen Sie die folgenden Richtlinien, bevor Sie ein Dokument freigeben oder ein gemeinsam genutztes Dokument verwenden.

Entfernen sensibler Daten

Überprüfen Sie Ihr AWS Systems Manager (SSM)-Dokument sorgfältig und entfernen Sie alle sensiblen Daten. Achten Sie beispielsweise darauf, dass das Dokument nicht Ihre AWS-Anmeldeinformationen enthält. Wenn Sie ein Dokument für bestimmten Personen freigeben, können die Informationen in dem Dokument anzeigen. Wenn Sie ein Dokument öffentlich freigeben, können beliebige Personen die Informationen in dem Dokument anzeigen.

Öffentliche Freigabe für Dokumente blockieren

Überprüfen Sie alle öffentlich geteilten SSM-Dokumente in Ihrem Konto und bestätigen Sie, ob Sie sie weiterhin teilen möchten. Um die gemeinsame Nutzung eines Dokuments für die Öffentlichkeit zu beenden, müssen Sie die Einstellung für die Dokumentberechtigungen wie im Modifizieren von Berechtigungen für ein freigegebenes SSM-Dokument-Abschnitt dieses Themas beschrieben ändern. Die Aktivierung der Einstellung „Öffentliches Teilen blockieren“ hat keine Auswirkungen auf Dokumente, die Sie derzeit für die Öffentlichkeit freigeben. Sofern Ihr Anwendungsfall nicht erfordert, dass Sie Dokumente öffentlich freigeben, empfehlen wir Ihnen, die Einstellung „Öffentliche Freigabe blockieren“ für Ihre SSM-Dokumente im Abschnitt Einstellungen der Systems-Manager-Dokumentenkonsole zu aktivieren. Wenn Sie diese Einstellung aktivieren, wird unerwünschter Zugriff auf Ihre SSM-Dokumente verhindert. Die Einstellung „Öffentliche Freigabe sperren“ ist eine Einstellung auf Kontoebene, die sich für jede AWS-Region unterscheiden kann.

Beschränken von Run Command-Aktionen mithilfe einer IAM-Vertrauensrichtlinie

Erstellen Sie eine restriktive AWS Identity and Access Management (IAM)-Richtlinie für Benutzer, die Zugriff auf das Dokument haben. Die IAM-Richtlinie bestimmt, welche SSM-Dokumente ein Benutzer entweder in der Amazon Elastic Compute Cloud (Amazon EC2)-Konsole oder durch den Aufruf von ListDocuments mit AWS Command Line Interface (AWS CLI) oder AWS Tools for Windows PowerShell sehen kann. Die Richtlinie schränkt auch die Aktionen ein, die der Benutzer mit SSM-Dokumenten durchführen kann. Sie können eine restriktive Richtlinie erstellen, damit Benutzer nur bestimmte Dokumente verwenden können. Weitere Informationen finden Sie unter Beispiele für vom Kunden verwaltete Richtlinien.

Vorsicht bei der Verwendung freigegebener SSM-Dokumente

Überprüfen Sie den Inhalt jedes Dokuments, das für Sie freigegeben ist, insbesondere öffentliche Dokumente, um die Befehle zu verstehen, die über Ihre Instances ausgeführt werden. Ein Dokument kann absichtlich oder unbeabsichtigterweise negative Auswirkungen haben, wenn es ausgeführt wird. Wenn das Dokument auf ein externes Netzwerk verweist, überprüfen Sie die externe Quelle, bevor Sie das Dokument verwenden.

Versenden von Befehlen mit dem Dokument-Hash

Wenn Sie ein Dokument freigeben, erstellt das System einen SHA-256-Hash und weist diesen dem Dokument zu. Das System speichert außerdem einen Snapshot des Dokumentinhalts. Wenn Sie mit einem freigegebenen Dokument einen Befehl senden, können Sie für den Befehl diesen Hash angeben, um sicherzustellen, dass die folgenden Bedingungen erfüllt sind:

  • Sie führen den Befehl über das richtige Systems Manager-Dokument aus.

  • Der Inhalt des Dokuments wurde nicht geändert, seit es für Sie freigegeben wurde.

Wenn der Hash nicht mit dem angegebenen Dokument übereinstimmt oder der Inhalt des freigegebenen Dokuments geändert wurde, löst der Befehl eine InvalidDocument-Ausnahmebedingung aus. Mit dem Hash können keine Dokumentinhalte von externen Standorten überprüft werden.

Öffentliche Freigabe für SSM-Dokumente blockieren

Bevor Sie beginnen, überprüfen Sie alle öffentlich freigegebenen SSM-Dokumente in Ihrem AWS-Konto und bestätigen Sie, ob Sie diese weiterhin freigeben möchten. Um die gemeinsame Nutzung eines SSM-Dokuments für die Öffentlichkeit zu beenden, müssen Sie die Einstellung für Dokumentberechtigungen wie im Modifizieren von Berechtigungen für ein freigegebenes SSM-Dokument-Abschnitt dieses Themas beschrieben ändern. Die Aktivierung der Einstellung „Öffentliches Teilen blockieren“ hat keine Auswirkungen auf SSM-Dokumente, die Sie derzeit für die Öffentlichkeit freigeben. Wenn die Einstellung „Öffentliches Teilen blockieren“ aktiviert ist, können Sie keine weiteren SSM-Dokumente mit der Öffentlichkeit teilen.

Sofern Ihr Anwendungsfall nicht erfordert, dass Sie Dokumente öffentlich freigeben, empfehlen wir Ihnen, die Einstellung „Öffentliche Freigabe blockieren“ für Ihre SSM-Dokumente zu aktivieren. Wenn Sie diese Einstellung aktivieren, wird unerwünschter Zugriff auf Ihre SSM-Dokumente verhindert. Die Einstellung „Öffentliche Freigabe sperren“ ist eine Einstellung auf Kontoebene, die sich für jede AWS-Region unterscheiden kann. Führen Sie die folgenden Aufgaben aus, um die öffentliche Freigabe für alle SSM-Dokumente zu blockieren, die Sie derzeit nicht freigeben.

Öffentliche Freigabe blockieren (Konsole)

Blockieren der öffentlichen Freigabe Ihrer SSM-Dokumente
  1. Öffnen Sie die AWS Systems Manager-Konsole unter https://console.aws.amazon.com/systems-manager/.

  2. Wählen Sie im Navigationsbereich die Option Dokumente aus.

  3. Wählen Sie Preferences (Präferenzen) und dann Edit (Bearbeiten) im Abschnitt Block public sharing (Öffentliche Freigabe blockieren) .

  4. Wählen Sie das Kontrollkästchen Block public sharing (Öffentliche Freigabe blockieren) und wählen Sie aus Save (speichern).

Öffentliche Freigabe blockieren (Befehlszeile)

Öffnen Sie AWS Command Line Interface(AWS CLI) oder AWS Tools for Windows PowerShell auf Ihrem lokalen Computer und führen Sie den folgenden Befehl aus, um die öffentliche Freigabe Ihrer SSM-Dokumente zu blockieren.

Linux & macOS
aws ssm update-service-setting \ --setting-id /ssm/documents/console/public-sharing-permission \ --setting-value Disable \ --region 'The AWS-Region you want to block public sharing in'
Windows
aws ssm update-service-setting ^ --setting-id /ssm/documents/console/public-sharing-permission ^ --setting-value Disable ^ --region "The AWS-Region you want to block public sharing in"
PowerShell
Update-SSMServiceSetting ` -SettingId /ssm/documents/console/public-sharing-permission ` -SettingValue Disable ` –Region The AWS-Region you want to block public sharing in

Überprüfen Sie, ob der Einstellungswert aktualisiert wurde, indem Sie den folgenden Befehl verwenden.

Linux & macOS
aws ssm get-service-setting \ --setting-id /ssm/documents/console/public-sharing-permission \ --region The AWS-Region you blocked public sharing in
Windows
aws ssm get-service-setting ^ --setting-id /ssm/documents/console/public-sharing-permission ^ --region "The AWS-Region you blocked public sharing in"
PowerShell
Get-SSMServiceSetting ` -SettingId /ssm/documents/console/public-sharing-permission ` -Region The AWS-Region you blocked public sharing in

Beschränken des Zugriffs zum Blockieren der öffentlichen Freigabe mit IAM

Sie können AWS Identity and Access Management-(IAM)-Richtlinien erstellen, die Benutzer daran hindern, die Einstellung zum Blockieren der öffentlichen Freigabe zu ändern. Dadurch wird verhindert, dass Benutzer unerwünschten Zugriff auf Ihre SSM-Dokumente zulassen.

Nachfolgend finden Sie ein Beispiel für eine IAM-Richtlinie, die verhindert, dass Benutzer die Einstellung zum Blockieren der öffentlichen Freigabe zu aktualisieren. Um dieses Beispiel zu verwenden, müssen Sie die Beispiel-Konto-ID für Amazon Web Services durch Ihre eigene Konto-ID ersetzen.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": "ssm:UpdateServiceSetting", "Resource": "arn:aws:ssm:*:987654321098:servicesetting/ssm/documents/console/public-sharing-permission" } ] }

Freigeben eines SSM-Dokuments

Sie können alle AWS Systems Manager (SSM) Dokumente mithilfe der Systems Manager-Konsole anzeigen. Beim Teilen von Dokumenten über die Konsole kann nur die Standardversion des Dokuments geteilt werden. Sie können SS;-Dokumente auch programmgesteuert freigeben, indem Sie die ModifyDocumentPermission-API-Operation mit der AWS Command Line Interface (AWS CLI), AWS Tools for Windows PowerShell oder mit dem AWS SDK aufrufen. Rufen Sie, bevor Sie ein Dokument freigeben, die AWS-Konto-IDs der Personen ab, für die Sie das Dokument freigeben möchten. Sie müssen diese Konto-IDs angeben, wenn Sie das Dokument freigeben.

Freigeben eines Dokuments (Konsole)

  1. Öffnen Sie die AWS Systems Manager-Konsole unter https://console.aws.amazon.com/systems-manager/.

  2. Wählen Sie im Navigationsbereich die Option Dokumente aus.

  3. Wählen Sie in der Dokumentenliste das Dokument aus, das Sie freigeben möchten, und klicken Sie dann auf View details (Details anzeigen). Überprüfen Sie dann auf der Registerkarte Permissions, ob Sie der Besitzer des Dokuments sind. Nur der Eigentümer eines Dokuments kann ein Dokument freigeben.

  4. Wählen Sie Bearbeiten aus.

  5. Um den Befehl öffentlich freizugeben, wählen Sie Public und dann die Option Save. Wählen Sie zur privaten Freigabe des Befehls die Option Private aus, geben Sie die AWS-Konto-ID ein und wählen Sie Add permission sowie anschließend die Option Save aus.

Freigeben eines Dokuments (Befehlszeile)

Im folgenden Verfahren müssen Sie eine AWS-Region für Ihre Befehlszeilensitzung angeben.

  1. Öffnen Sie die AWS CLI oder AWS Tools for Windows PowerShell auf Ihrem lokalen Computer und führen Sie den folgenden Befehl aus, um Ihre Anmeldeinformationen anzugeben.

    Ersetzen Sie im folgenden Befehl region mit Ihren eigenen Informationen. Eine Liste der unterstützten Region-Werte finden Sie in der Spalte Region unter Service-Endpunkte von Systems Manager in der Allgemeine Amazon Web Services-Referenz.

    Linux & macOS
    aws config AWS Access Key ID: [your key] AWS Secret Access Key: [your key] Default region name: region Default output format [None]:
    Windows
    aws config AWS Access Key ID: [your key] AWS Secret Access Key: [your key] Default region name: region Default output format [None]:
    PowerShell
    Set-AWSCredentials –AccessKey your key –SecretKey your key Set-DefaultAWSRegion -Region region
  2. Verwenden Sie den folgenden Befehl, um alle SSM-Dokumente aufzulisten, die für Sie verfügbar sind. Die Liste enthält Dokumente, die Sie erstellt haben, und Dokumente, die für Sie freigegeben wurden.

    Linux & macOS
    aws ssm list-documents
    Windows
    aws ssm list-documents
    PowerShell
    Get-SSMDocumentList
  3. Verwenden Sie den folgenden Befehl, um ein bestimmtes Dokument abzurufen.

    Linux & macOS
    aws ssm get-document \ --name document name
    Windows
    aws ssm get-document ^ --name document name
    PowerShell
    Get-SSMDocument ` –Name document name
  4. Verwenden Sie den folgenden Befehl, um eine Beschreibung des Dokuments abzurufen.

    Linux & macOS
    aws ssm describe-document \ --name document name
    Windows
    aws ssm describe-document ^ --name document name
    PowerShell
    Get-SSMDocumentDescription ` –Name document name
  5. Verwenden Sie den folgenden Befehl, um die Zugriffsberechtigungen für das Dokument anzuzeigen.

    Linux & macOS
    aws ssm describe-document-permission \ --name document name \ --permission-type Share
    Windows
    aws ssm describe-document-permission ^ --name document name ^ --permission-type Share
    PowerShell
    Get-SSMDocumentPermission ` –Name document name ` -PermissionType Share
  6. Verwenden Sie den folgenden Befehl, um die Zugriffsberechtigungen für das Dokument zu ändern und das Dokument freizugeben. Sie müssen der Eigentümer des Dokuments sein, um die Berechtigungen bearbeiten zu können. Optional können Sie für mit bestimmten AWS-Konto-IDs freigegebene Dokumente mithilfe des --shared-document-version-Parameters eine Version des Dokuments angeben, die Sie freigeben möchten. Wenn Sie keine Version angeben, gibt das System die Default-Version des Dokuments frei. Wenn Sie ein Dokument öffentlich (mit all) teilen, werden standardmäßig alle Versionen des angegebenen Dokuments geteilt. Mit diesem folgenden Beispielbefehl wird das Dokument privat für eine bestimmte Person freigegeben, auf der Grundlage der AWS-Konto-ID der Person.

    Linux & macOS
    aws ssm modify-document-permission \ --name document name \ --permission-type Share \ --account-ids-to-add AWS-Konto ID
    Windows
    aws ssm modify-document-permission ^ --name document name ^ --permission-type Share ^ --account-ids-to-add AWS-Konto ID
    PowerShell
    Edit-SSMDocumentPermission ` –Name document name ` -PermissionType Share ` -AccountIdsToAdd AWS-Konto ID
  7. Verwenden Sie den folgenden Befehl, um ein Dokument öffentlich freizugeben.

    Anmerkung

    Wenn Sie ein Dokument öffentlich (mit all) teilen, werden standardmäßig alle Versionen des angegebenen Dokuments geteilt.

    Linux & macOS
    aws ssm modify-document-permission \ --name document name \ --permission-type Share \ --account-ids-to-add 'all'
    Windows
    aws ssm modify-document-permission ^ --name document name ^ --permission-type Share ^ --account-ids-to-add "all"
    PowerShell
    Edit-SSMDocumentPermission ` -Name document name ` -PermissionType Share ` -AccountIdsToAdd ('all')

Modifizieren von Berechtigungen für ein freigegebenes SSM-Dokument

Wenn Sie einen Befehl freigeben, können Benutzer diesen Befehl anzeigen und verwenden, bis Sie den Zugriff auf das AWS Systems Manager (SSM) Dokument entfernen oder das SSM-Dokument löschen. Sie können ein Dokument jedoch erst löschen, wenn es nicht mehr freigegeben ist. Sie müssen also zuerst die Freigabe beenden und können erst anschließend die Datei löschen.

Beenden der Freigabe eines Dokuments (Konsole)

Beenden der Freigabe eines Dokuments
  1. Öffnen Sie die AWS Systems Manager-Konsole unter https://console.aws.amazon.com/systems-manager/.

  2. Wählen Sie im Navigationsbereich die Option Dokumente aus.

  3. Wählen Sie in der Dokumentenliste das Dokument aus, dessen Freigabe Sie beenden möchten, und klicken Sie dann auf Details anzeigen. Überprüfen Sie dann auf der Registerkarte Berechtigungen, ob Sie der Besitzer des Dokuments sind. Nur der Eigentümer eines Dokuments kann die Freigabe eines Dokuments beenden.

  4. Wählen Sie Bearbeiten aus.

  5. Wählen Sie X aus, um die AWS-Konto-ID zu löschen, die keinen Zugriff mehr auf den Befehl haben soll, und wählen Sie anschließend die Option Save (Speichern) aus.

Beenden der Freigabe eines Dokuments (Befehlszeile)

Öffnen Sie die AWS CLI oder AWS Tools for Windows PowerShell auf Ihrem lokalen Computer und führen Sie den folgenden Befehl aus, um die Freigabe eines Befehls zu beenden.

Linux & macOS
aws ssm modify-document-permission \ --name document name \ --permission-type Share \ --account-ids-to-remove 'AWS-Konto ID'
Windows
aws ssm modify-document-permission ^ --name document name ^ --permission-type Share ^ --account-ids-to-remove "AWS-Konto ID"
PowerShell
Edit-SSMDocumentPermission ` -Name document name ` -PermissionType Share ` –AccountIdsToRemove AWS-Konto ID

Verwenden von freigegebenen SSM-Dokumenten

Wenn Sie ein AWS Systems Manager (SSM) Dokument freigeben, generiert das System einen Amazon-Ressourcennamen (ARN) und weist diesen dem Befehl zu. Wenn Sie ein freigegebenes Dokument über die Systems-Manager-Konsole auswählen und ausführen, wird der ARN nicht angezeigt. Wenn Sie jedoch ein freigegebenes SSM-Dokument mit einer anderen Methode als der Systems-Manager-Konsole ausführen möchten, müssen Sie den vollständigen ARN des Dokuments für den DocumentName-Anforderungsparameter angeben. Wenn Sie den Befehl zum Auflisten der Dokumente ausführen, wird jeweils der vollständige ARN für SSM-Dokumente angezeigt.

Anmerkung

Sie brauchen für öffentliche AWS-Dokumente (Dokumente, die mit AWS-* beginnen) und für Dokumente, die Sie selbst besitzen, keinen ARN anzugeben.

Verwenden eines freigegebenen SSM-Dokuments (Befehlszeile)

So listen Sie öffentliche SSM-Dokumente auf

Linux & macOS
aws ssm list-documents \ --filters Key=Owner,Values=Public
Windows
aws ssm list-documents ^ --filters Key=Owner,Values=Public
PowerShell
$filter = New-Object Amazon.SimpleSystemsManagement.Model.DocumentKeyValuesFilter $filter.Key = "Owner" $filter.Values = "Public" Get-SSMDocumentList ` -Filters @($filter)

So listen Sie private SSM-Dokumente auf, die für Sie freigegeben wurden

Linux & macOS
aws ssm list-documents \ --filters Key=Owner,Values=Private
Windows
aws ssm list-documents ^ --filters Key=Owner,Values=Private
PowerShell
$filter = New-Object Amazon.SimpleSystemsManagement.Model.DocumentKeyValuesFilter $filter.Key = "Owner" $filter.Values = "Private" Get-SSMDocumentList ` -Filters @($filter)

So listen Sie alle SSM-Dokumente auf, die für Sie verfügbar sind

Linux & macOS
aws ssm list-documents
Windows
aws ssm list-documents
PowerShell
Get-SSMDocumentList

So rufen Sie Informationen zu einem SSM-Dokument ab, das für Sie freigegeben wurde

Linux & macOS
aws ssm describe-document \ --name arn:aws:ssm:us-east-2:12345678912:document/documentName
Windows
aws ssm describe-document ^ --name arn:aws:ssm:us-east-2:12345678912:document/documentName
PowerShell
Get-SSMDocumentDescription ` –Name arn:aws:ssm:us-east-2:12345678912:document/documentName

So führen Sie ein freigegebenes SSM-Dokument aus

Linux & macOS
aws ssm send-command \ --document-name arn:aws:ssm:us-east-2:12345678912:document/documentName \ --instance-ids ID
Windows
aws ssm send-command ^ --document-name arn:aws:ssm:us-east-2:12345678912:document/documentName ^ --instance-ids ID
PowerShell
Send-SSMCommand ` –DocumentName arn:aws:ssm:us-east-2:12345678912:document/documentName ` –InstanceIds ID