Utiliser les rôles pour maintenir la santé et Quick Setup la cohérence des ressources allouées

Systems Manager utilise le rôle lié à un service AWSServiceRoleForSSMQuickSetup.

AWSServiceRoleForSSMQuickSetupautorisations de rôle liées à un service pour Systems Manager

Le rôle lié à un service AWSServiceRoleForSSMQuickSetup approuve les services suivants pour endosser le rôle :

• ssm-quicksetup.amazonaws.com

La politique d'autorisations liée au rôle permet à Systems Manager de réaliser les actions suivantes sur les ressources spécifiées :

• AWS Systems Manager utilise ce rôle de service IAM pour vérifier l'état de la configuration, garantir une utilisation cohérente des paramètres et des ressources allouées, et corriger les ressources lorsqu'une dérive est détectée.

La politique gérée utilisée pour fournir des autorisations pour le AWSServiceRoleForSSMQuickSetup rôle estSSMQuickSetupRolePolicy. SSMQuickSetupRolePolicyfournit des autorisations pour les services suivants :

ssm(Systems Manager) — Lit les informations relatives à l'état dans lequel les ressources configurées sont censées se trouver.

organizations(AWS Organizations) — Lit les informations sur les comptes membres appartenant à une organisation, tels que configurés dans Organizations.

cloudformation(AWS CloudFormation) — Lit les informations sur les CloudFormation piles utilisées pour gérer l'état des ressources et les opérations des CloudFormation stacksets.

Le contenu de la politique est le suivant :

{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "SSMResourceDataSyncListPermissions",
            "Action": [
                "ssm:ListResourceDataSync"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Sid": "SSMDocumentReadOnlyPermissions",
            "Action": [
                "ssm:DescribeDocument",
                "ssm:GetDocument"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Sid": "OrganizationReadOnlyPermissions",
            "Action": [
                "organizations:ListRoots",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListAccountsForParent",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:DescribeOrganizationalUnit"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Sid": "QuickSetupStackSetReadOnlyPermissions",
            "Action": [
                "cloudformation:DescribeStackSetOperation",
                "cloudformation:ListStackInstances",
                "cloudformation:ListStackSetOperations",
                "cloudformation:ListStackSetOperationResults"
            ],
            "Resource": [
                "arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-*",
                "arn:aws:cloudformation:*:*:stack/StackSet-AWS-QuickSetup-*"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "QuickSetupStackSetDeletePermissions",
            "Action": [
                "cloudformation:DeleteStackInstances",
                "cloudformation:DeleteStackSet"
            ],
            "Resource": [
                "arn:aws:cloudformation:*:*:stackset/AWS-QuickSetup-*",
                "arn:aws:cloudformation:*:*:stack/StackSet-AWS-QuickSetup-*"
            ],
            "Effect": "Allow"
        }
    ]
}

Vous devez configurer les autorisations de manière à permettre à une entité IAM (comme un utilisateur, un groupe ou un rôle) de créer, modifier ou supprimer un rôle lié à un service. Pour plus d'informations, consultez Autorisations de rôles liés à un service dans le Guide de l'utilisateur IAM.

Création du rôle lié au service AWSServiceRoleForSSMQuickSetup pour Systems Manager

Il n'est pas nécessaire de créer manuellement le rôle AWSServiceRoleForSSMQuickSetup lié à un service. Lorsque vous créez une Quick Setup configuration dans le AWS Management Console, Systems Manager crée le rôle lié au service pour vous.

Modification du rôle lié au service AWSServiceRoleForSSMQuickSetup pour Systems Manager

Systems Manager ne vous permet pas de modifier le rôle lié à un service AWSServiceRoleForSSMQuickSetup. Une fois que vous avez créé un rôle lié à un service, vous ne pouvez pas changer le nom du rôle, car plusieurs entités peuvent faire référence à ce rôle. Néanmoins, vous pouvez modifier la description du rôle à l’aide d’IAM. Pour en savoir plus, consultez Modification d'un rôle lié à un service dans le guide de l'utilisateur IAM.

Suppression du rôle lié au service AWSServiceRoleForSSMQuickSetup pour Systems Manager

Si vous n'avez plus besoin d'utiliser une fonction ou un service qui nécessite un rôle lié à un service, nous vous recommandons de supprimer ce rôle. De cette façon, vous n'avez aucune entité inutilisée qui n'est pas surveillée ou gérée activement. Cependant, vous devez nettoyer votre rôle lié à un service avant de pouvoir le supprimer manuellement.

Nettoyage du rôle lié au service AWSServiceRoleForSSMQuickSetup

Avant de pouvoir utiliser IAM pour supprimer le rôle AWSServiceRoleForSSMQuickSetup lié à un service, vous devez d'abord supprimer les Quick Setup configurations qui utilisent le rôle. Pour plus d’informations, consultez Modification et suppression de votre configuration.

Suppression manuelle du rôle lié au service AWSServiceRoleForSSMQuickSetup

Utilisez la console IAM AWS CLI, le ou l' AWS API pour supprimer le rôle lié au AWSServiceRoleForSSMQuickSetup service. Pour plus d'informations, consultez la rubrique suivante :

• Supprimer un rôle lié à un service dans le guide de l'utilisateur IAM

Régions prises en charge pour le rôle lié à un service AWSServiceRoleForSSMQuickSetup de Systems Manager

Systems Manager ne prend pas en charge l'utilisation de rôles liés à un service dans toutes les régions où le service est disponible. Vous pouvez utiliser le AWSServiceRoleForSSMQuickSetup rôle dans les régions suivantes.

• USA Est (Ohio)

• USA Est (Virginie du Nord)

• USA Ouest (Californie du Nord)

• USA Ouest (Oregon)

• Asie-Pacifique (Mumbai)

• Asie-Pacifique (Séoul)

• Asie-Pacifique (Singapour)

• Asie-Pacifique (Sydney)

• Asie-Pacifique (Tokyo)

• Canada (Centre)

• Europe (Francfort)

• Europe (Stockholm)

• Europe (Irlande)

• Europe (Londres)

• Europe (Paris)

• Amérique du Sud (São Paulo)