診断レポートを S3 にエクスポートするカスタムサービスロールの作成

Systems Manager の [ノードの探索] ページで、AWS 組織やアカウントのマネージドノードのフィルタリングされた/フィルタリングされていないリストを表示している場合、そのリストをレポートとして CSV ファイル形式で Amazon S3 バケットにエクスポートできます。

そのためには、オペレーションに必要なアクセス許可と信頼ポリシーを持つサービスロールを指定する必要があります。レポートのダウンロードプロセス中に Systems Manager によって自動的にロールが作成されるようにすることもできます。オプションで、ユーザー自身がロールおよびそのロールに必要なポリシーを作成することもできます。

診断レポートを S3 にエクスポートするカスタムサービスロールを作成する手順

1. 「IAM ユーザーガイド」の「JSON エディターを使用したポリシーの作成」の手順を実行します。

   • ポリシーコンテンツとして以下を使用します。その際に、プレースホルダー値は独自の情報に置き換えてください。

     JSON

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": [
             "s3:GetObject",
             "s3:PutObject"
           ],
           "Resource": "arn:aws:s3:::s3-bucket-name/*",
           "Condition": {
             "StringEquals": {
               "aws:ResourceAccount": "account-id"
             }
           }
         },
         {
           "Effect": "Allow",
           "Action": [
             "s3:GetBucketAcl",
             "s3:ListBucket",
             "s3:PutLifecycleConfiguration",
             "s3:GetLifecycleConfiguration"
           ],
           "Resource": "arn:aws:s3:::s3-bucket-name",
           "Condition": {
             "StringEquals": {
               "aws:ResourceAccount": "account-id"
             }
           }
         },
         {
           "Effect": "Allow",
           "Action": [
             "ssm:ListNodes"
           ],
           "Resource": "*"
         }
       ]
     }
     

   • 次のステップで簡単にわかるように、ポリシーに名前を付けます。

2. 「IAM ユーザーガイド」の「カスタム信頼ポリシーを使用した IAM ロールの作成 (コンソール)」の手順を実行します。

   • ステップ 4 では、次の信頼ポリシーを入力します。その際に、プレースホルダー値は独自の情報に置き換えてください。

     JSON

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Sid": "SSMAssumeRole",
           "Effect": "Allow",
           "Principal": {
             "Service": "ssm.amazonaws.com"
           },
           "Action": "sts:AssumeRole",
           "Condition": {
             "StringEquals": {
               "aws:SourceAccount": "account-id"
             }
           }
         }
       ]
     }
     

3. ステップ 10 では、[ステップ 2: アクセス許可を追加する] を選択し、前のステップで作成したポリシーの名前を選択します。

ロールを作成すると、「マネージドノードレポートのダウンロードまたはエクスポート」の手順を実行する際にそのロールを選択できるようになります。