既存のインスタンスプロファイルに Session Manager アクセス許可を追加する - AWS Systems Manager

既存のインスタンスプロファイルに Session Manager アクセス許可を追加する

インスタンスのアクセス許可に対して AWS 提供のデフォルトポリシー [AmazonSSMManagedInstanceCore] に依存しない既存の AWS Identity and Access Management (IAM) インスタンスプロファイルに Session Manager のアクセス許可を埋め込むには、以下の手順に従います。この手順では、アクセスを許可するアクションに対する他の Systems Manager の ssm アクセス権限が既存のプロファイルにすでに含まれていることを前提としています。このポリシーだけでは、Session Manager を使用するには十分ではありません。

既存のインスタンスプロファイル (コンソール) に Session Manager アクセス権限を追加するには

  1. AWS マネジメントコンソール にサインインし、IAM コンソール（https://console.aws.amazon.com/iam/）を開きます。

  2. ナビゲーションペインで [Roles (ロール) ] を選択します。

  3. ポリシーを埋め込むロールの名前を選択します。

  4. [Permissions] タブを選択します。

  5. ページ下部までスクロールし、[インラインポリシーの追加] を選択します。

  6. [JSON] タブを選択します。

  7. デフォルトコンテンツを以下のものと置き換えます。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "key-name"
        }
    ]
}

    「ssmmessages」について

    ssmmessages の詳細については、「リファレンス: ec2messages、ssmmessages と他の API コール」を参照してください。

    「kms:Decrypt」について

    このポリシーでは、kms:Decrypt アクセス権限によってセッションデータの顧客キーの暗号化と復号が有効になります。セッションデータに AWS Key Management Service (AWS KMS) 暗号化を使用する場合は、key-name を arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-12345EXAMPLE 形式で、使用するカスタマーマスターキー (CMK) の Amazon リソースネーム (ARN) に置き換えてください。

    セッションデータに AWS KMS 暗号化を使用しない場合は、ポリシーから以下のコンテンツを削除できます。

    ,
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "key-name"
        }

    セッションデータを暗号化するための AWS KMS と CMK の使用については、「セッションデータの AWS KMS キー暗号化を有効にする (コンソール)」を参照してください。

  8. [ポリシーの確認] を選択します。

  9. [Review policy (ポリシーの確認)] ページで、[Name (名前)] にインラインポリシーの名前を入力します (SessionManagerPermissions など)。

  10. [Create policy] を選択します。