Verwenden von Rollen zum Erstellen von OpsData und OpsItems für Explorer

Systems Manager verwendet die serviceverknüpfte Rolle mit dem Namen AWSServiceRoleForSystemsManagerOpsDataSync – AWS Systems Manager verwendet diese IAM-Servicerolle für Explorer zum Erstellen von OpsData und OpsItems.

Berechtigungen von serviceverknüpften Rollen für Systems Manager-OpsData-Synchronisierung

Die serviceverknüpfte Rolle AWSServiceRoleForSystemsManagerOpsDataSync vertraut darauf, dass die folgenden Services die Rolle annehmen:

• opsdatasync.ssm.amazonaws.com

Die Rollenberechtigungsrichtlinie erlaubt Systems Manager die Durchführung der folgenden Aktionen für die angegebenen Ressourcen:

• Systems Manager Explorer erfordert, dass eine serviceverknüpfte Rolle die Berechtigung zum Aktualisieren eines Sicherheitsergebnisses erteilt, wenn ein OpsItem aktualisiert wird. Erstellen und aktualisieren Sie ein OpsItem und deaktivieren Sie die Security-Hub-Datenquelle, wenn eine SSM-verwaltete Regel von Kunden gelöscht wird.

Die verwaltete Richtlinie, die zum Bereitstellen von Berechtigungen für die AWSServiceRoleForSystemsManagerOpsDataSync-Rolle verwendet wird, ist AWSSystemsManagerOpsDataSyncServiceRolePolicy. Einzelheiten zu den Berechtigungen, gewährt werden, finden Sie unter AWS Von verwaltete Richtlinie: AWSSystemsManagerOpsDataSyncServiceRolePolicy.

Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine servicegebundene Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter Serviceverknüpfte Rollenberechtigung im IAM-Benutzerhandbuch.

Erstellen einer AWSServiceRoleForSystemsManagerOpsDataSync-serviceverknüpften Rolle für Systems Manager

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie in der AWS Management Console Explorer aktivieren, erstellt Systems Manager die serviceorientierte Rolle für Sie.

Wichtig

Diese serviceverknüpfte Rolle kann in Ihrem Konto erscheinen, wenn Sie eine Aktion in einem anderen Service abgeschlossen haben, der die von dieser Rolle unterstützten Features verwendet. Wenn Sie den Systems Manager-Service vor dem 1. Januar 2017 verwendet haben, als dieser begann, serviceverknüpfte Rollen zu unterstützen, dann hat Systems Manager die Rolle AWSServiceRoleForSystemsManagerOpsDataSync in Ihrem Konto erstellt. Weitere Informationen finden Sie unter In meinem IAM-Konto wird eine neue Rolle angezeigt.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie in der AWS Management Console Explorer aktivieren, erstellt Systems Manager die serviceorientierte Rolle erneut für Sie.

Sie können auch die IAM-Konsole verwenden, um eine mit der AWS-Servicerolle verknüpfte Rolle zu erstellen, die es Explorer ermöglicht, OpsData und OpsItems Anwendungsfälle zu erstellen. Erstellen Sie in der AWS CLI oder der AWS-API eine servicegebundene Rolle mit dem Servicenamen opsdatasync.ssm.amazonaws.com. Weitere Informationen finden Sie unter Erstellen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch. Wenn Sie diese servicegebundene Rolle löschen, können Sie mit demselben Verfahren die Rolle erneut erstellen.

Bearbeiten einer AWSServiceRoleForSystemsManagerOpsDataSync-serviceverknüpften Rolle für Systems Manager

Systems Manager lässt die Bearbeitung der serviceverknüpften Rolle namens AWSServiceRoleForSystemsManagerOpsDataSync nicht zu. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach der Erstellung einer serviceverknüpften Rolle nicht bearbeitet werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Löschen einer AWSServiceRoleForSystemsManagerOpsDataSync-serviceverknüpften Rolle für Systems Manager

Wenn Sie ein Feature oder einen Service, die bzw. der eine servicegebundene Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise ist keine ungenutzte Entität vorhanden, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch die Ressourcen für Ihre servicegebundene Rolle zunächst bereinigen, bevor Sie sie manuell löschen können.

Anmerkung

Wenn der Systems Manager-Service die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.

Das Verfahren zum Löschen Systems Manager-Ressourcen, das von der AWSServiceRoleForSystemsManagerOpsDataSync-Rolle verwendet wird, hängt davon ab, ob Sie Explorer oder OpsCenter für die Integration in den Security Hub konfiguriert haben.

Löschen Sie die von der AWSServiceRoleForSystemsManagerOpsDataSync-Rolle verwendeten Systems Manager-Ressourcen wie folgt:

• Um zu verhindern, dass Explorer neue OpsItems für Security Hub-Ergebnisse erstellt, lesen Sie Empfangen von Ergebnisse stoppen.

• Informationen dazu, wie OpsCenter daran gehindert wird, neue OpsItems für Security-Hub-Ergebnisse zu erstellen, finden Sie unter

To manually delete the AWSServiceRoleForSystemsManagerOpsDataSync service-linked role using IAM (So löschen Sie die servicegebundene Rolle mit IAM)

Verwenden Sie die IAM-Konsole, AWS CLI- oder AWS-API, um die AWSServiceRoleForSystemsManagerOpsDataSync serviceverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter Löschen einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Unterstützte Regionen für die Systems Manager AWSServiceRoleForSystemsManagerOpsDataSync-serviceverknüpfte Rolle

Systems Manager unterstützt die Verwendung von serviceverknüpften Rollen in allen Regionen, in denen der Service verfügbar ist. Weitere Informationen finden Sie unter AWS Systems Manager-Endpunkte und -Kontingente.

Systems Manager unterstützt die Verwendung von serviceverknüpften Rollen nicht in allen Regionen, in denen der Service verfügbar ist. Sie können die Rolle AWSServiceRoleForSystemsManagerOpsDataSync in den folgenden Regionen verwenden.

AWS-Region-Name	Regions-ID	Unterstützung in Systems Manager
USA Ost (Nord-Virginia)	us-east-1	Ja
USA Ost (Ohio)	us-east-2	Ja
USA West (Nordkalifornien)	us-west-1	Ja
USA West (Oregon)	us-west-2	Ja
Asien-Pazifik (Mumbai)	ap-south-1	Ja
Asien-Pazifik (Osaka)	ap-northeast-3	Ja
Asien-Pazifik (Seoul)	ap-northeast-2	Ja
Asien-Pazifik (Singapore)	ap-southeast-1	Ja
Asien-Pazifik (Sydney)	ap-southeast-2	Ja
Asien-Pazifik (Tokyo)	ap-northeast-1	Ja
Kanada (Zentral)	ca-central-1	Ja
Europa (Frankfurt)	eu-central-1	Ja
Europa (Ireland)	eu-west-1	Ja
Europa (London)	eu-west-2	Ja
Europa (Paris)	eu-west-3	Ja
Europa (Stockholm)	eu-north-1	Ja
Südamerika (São Paulo)	sa-east-1	Ja
AWS GovCloud (US)	us-gov-west-1	Nein