Verwenden von Rollen zum Erstellen OpsData und OpsItems für Explorer

Systems Managerverwendet die benannte dienstverknüpfte Rolle. AWSServiceRoleForSystemsManagerOpsDataSync AWS Systems Manager verwendet diese IAM-Dienstrolle Explorer zum Erstellen OpsData von und. OpsItems

Mit dem Dienst verknüpfte Rollenberechtigungen für die Synchronisierung Systems Manager OpsData

Die serviceverknüpfte Rolle AWSServiceRoleForSystemsManagerOpsDataSync vertraut darauf, dass die folgenden Services die Rolle annehmen:

• opsdatasync.ssm.amazonaws.com

Die Rollenberechtigungsrichtlinie erlaubt Systems Manager die Durchführung der folgenden Aktionen für die angegebenen Ressourcen:

• Systems Manager Explorer erfordert, dass eine serviceverknüpfte Rolle die Berechtigung zum Aktualisieren eines Sicherheitsergebnisses erteilt, wenn ein OpsItem aktualisiert wird. Erstellen und aktualisieren Sie ein OpsItem und deaktivieren Sie die Security-Hub-Datenquelle, wenn eine SSM-verwaltete Regel von Kunden gelöscht wird.

Die verwaltete Richtlinie, die zum Bereitstellen von Berechtigungen für die AWSServiceRoleForSystemsManagerOpsDataSync-Rolle verwendet wird, ist AWSSystemsManagerOpsDataSyncServiceRolePolicy. Einzelheiten zu den Berechtigungen, gewährt werden, finden Sie unter AWS verwaltete Richtlinie: AWSSystemsManagerOpsDataSyncServiceRolePolicy.

Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter Serviceverknüpfte Rollenberechtigung im IAM-Benutzerhandbuch.

Erstellen einer AWSServiceRoleForSystemsManagerOpsDataSync-serviceverknüpften Rolle für Systems Manager

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie die Option aktivieren Explorer AWS Management Console, Systems Manager wird die dienstverknüpfte Rolle für Sie erstellt.

Wichtig

Diese serviceverknüpfte Rolle kann in Ihrem Konto erscheinen, wenn Sie eine Aktion in einem anderen Service abgeschlossen haben, der die von dieser Rolle unterstützten Features verwendet. Wenn Sie den Systems Manager-Service vor dem 1. Januar 2017 verwendet haben, als dieser begann, serviceverknüpfte Rollen zu unterstützen, dann hat Systems Manager die Rolle AWSServiceRoleForSystemsManagerOpsDataSync in Ihrem Konto erstellt. Weitere Informationen finden Sie unter In meinem IAM-Konto wird eine neue Rolle angezeigt.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie Explorer in aktivieren AWS Management Console, Systems Manager wird die dienstverknüpfte Rolle erneut für Sie erstellt.

Sie können auch die IAM-Konsole verwenden, um eine serviceverknüpfte Rolle mit der AWS Servicerolle zu erstellen, mit der Sie einen Fall erstellen OpsData und OpsItems verwenden können Explorer. Erstellen Sie in der AWS CLI oder der AWS API eine dienstbezogene Rolle mit dem opsdatasync.ssm.amazonaws.com Dienstnamen. Weitere Informationen finden Sie unter Erstellen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch. Wenn Sie diese serviceverknüpfte Rolle löschen, können Sie mit demselben Verfahren die Rolle erneut erstellen.

Bearbeiten einer AWSServiceRoleForSystemsManagerOpsDataSync-serviceverknüpften Rolle für Systems Manager

Systems Manager lässt die Bearbeitung der serviceverknüpften Rolle namens AWSServiceRoleForSystemsManagerOpsDataSync nicht zu. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach der Erstellung einer serviceverknüpften Rolle nicht bearbeitet werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Löschen einer AWSServiceRoleForSystemsManagerOpsDataSync-serviceverknüpften Rolle für Systems Manager

Wenn Sie ein Feature oder einen Service, die bzw. der eine serviceverknüpfte Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise ist keine ungenutzte Entität vorhanden, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch die Ressourcen für Ihre serviceverknüpfte Rolle zunächst bereinigen, bevor Sie sie manuell löschen können.

Anmerkung

Wenn der Systems Manager-Service die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.

Das Verfahren zum Löschen Systems Manager-Ressourcen, das von der AWSServiceRoleForSystemsManagerOpsDataSync-Rolle verwendet wird, hängt davon ab, ob Sie Explorer oder OpsCenter für die Integration in den Security Hub konfiguriert haben.

Löschen Sie die von der AWSServiceRoleForSystemsManagerOpsDataSync-Rolle verwendeten Systems Manager-Ressourcen wie folgt:

• Um zu verhindern, dass Explorer neue OpsItems für Security Hub-Ergebnisse erstellt, lesen Sie Empfangen von Ergebnisse stoppen.

• Informationen dazu, wie OpsCenter daran gehindert wird, neue OpsItems für Security-Hub-Ergebnisse zu erstellen, finden Sie unter

To manually delete the AWSServiceRoleForSystemsManagerOpsDataSync service-linked role using IAM (So löschen Sie die servicegebundene Rolle mit IAM)

Verwenden Sie die IAM-Konsole, die oder die AWS API AWS CLI, um die AWSServiceRoleForSystemsManagerOpsDataSync dienstverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter Löschen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Unterstützte Regionen für die Systems Manager AWSServiceRoleForSystemsManagerOpsDataSync-serviceverknüpfte Rolle

Systems Manager unterstützt die Verwendung von serviceverknüpften Rollen in allen Regionen, in denen der Service verfügbar ist. Weitere Informationen finden Sie unter AWS Systems Manager Endpunkte und -Kontingente.

Systems Manager unterstützt die Verwendung von serviceverknüpften Rollen nicht in allen Regionen, in denen der Service verfügbar ist. Sie können die Rolle AWSServiceRoleForSystemsManagerOpsDataSync in den folgenden Regionen verwenden.

AWS-Region Name	Regions-ID	Unterstützung in Systems Manager
USA Ost (Nord-Virginia)	us-east-1	Ja
USA Ost (Ohio)	us-east-2	Ja
USA West (Nordkalifornien)	us-west-1	Ja
USA West (Oregon)	us-west-2	Ja
Asien-Pazifik (Mumbai)	ap-south-1	Ja
Asien-Pazifik (Osaka)	ap-northeast-3	Ja
Asien-Pazifik (Seoul)	ap-northeast-2	Ja
Asien-Pazifik (Singapore)	ap-southeast-1	Ja
Asien-Pazifik (Sydney)	ap-southeast-2	Ja
Asien-Pazifik (Tokyo)	ap-northeast-1	Ja
Kanada (Zentral)	ca-central-1	Ja
Europa (Frankfurt)	eu-central-1	Ja
Europa (Ireland)	eu-west-1	Ja
Europa (London)	eu-west-2	Ja
Europa (Paris)	eu-west-3	Ja
Europa (Stockholm)	eu-north-1	Ja
Südamerika (São Paulo)	sa-east-1	Ja
AWS GovCloud (US)	us-gov-west-1	Nein