ステップ 1: Systems Manager にインスタンスのアクセス許可を設定する - AWS Systems Manager
推奨される設定代替設定(オプション) S3 バケットへのアクセスのカスタムポリシーを作成するマネージドインスタンスのポリシーに関するその他の考慮事項インスタンスに Systems Manager インスタンスプロファイルを添付する (コンソール)

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ステップ 1: Systems Manager にインスタンスのアクセス許可を設定する

デフォルトでは、 AWS Systems Manager にはインスタンスでアクションを実行するアクセス許可はありません。インスタンスのアクセス許可は、 AWS Identity and Access Management (IAM) ロールを使用してアカウントレベルで付与することも、インスタンスプロファイルを使用してインスタンスレベルで付与することもできます。可能であれば、デフォルトのホスト管理設定を使用してアカウントレベルでアクセスを付与することをお勧めします。

推奨される設定

デフォルトのホスト管理設定では、Systems Manager が Amazon EC2 インスタンスを自動的に管理することができます。この設定を有効にする AWS リージョン と、 でインスタンスメタデータサービスバージョン 2 (IMDSv2) を使用し、バージョン 3.2.582.0 AWS アカウント SSM Agent 以降がインストールされているすべてのインスタンスが自動的にマネージドインスタンスになります。デフォルトのホスト管理設定は、インスタンスメタデータサービスバージョン 1 をサポートしていません。IMDSv2 への移行の詳細については、「Amazon EC2 Linux インスタンス用ユーザーガイド」の「インスタンスメタデータサービスバージョン 2 の使用への移行」を参照してください。インスタンスにインストールされている SSM Agent のバージョンを確認する方法については、「SSM Agent バージョン番号の確認」を参照してください。SSM Agent の更新方法については、「SSM Agent の自動更新」を参照してください。マネージドインスタンスには、次のような利点があります。

  • Session Manager を使用して安全にインスタンスに接続する。

  • Patch Manager を使用して自動パッチスキャンを実行する。

  • Systems Manager インベントリを使用して、インスタンスに関する詳細情報を表示する。

  • Fleet Manager を使用してインスタンスを追跡、管理する。

  • SSM Agent を自動的に最新の状態に保つ。

Fleet Manager、インベントリ、Patch Manager、 Session Managerは の機能です AWS Systems Manager。

デフォルトのホスト管理設定では、インスタンスプロファイルを使用せずにインスタンスを管理でき、Systems Manager にリージョンとアカウント内のすべてのインスタンスを管理するアクセス許可が付与されていることを確認できます。付与されたアクセス許可がユースケースに十分でない場合は、デフォルトのホスト管理設定で作成されたデフォルトの IAM ロールにポリシーを追加することもできます。また、デフォルトの IAM ロールで提供されるすべての機能の一部に対してのみアクセス許可が必要な場合は、独自のカスタムロールとポリシーを作成できます。デフォルトのホスト管理設定で選択した IAM ロールに加えられた変更は、リージョンとアカウントのすべてのマネージド Amazon EC2 インスタンスに適用されます。デフォルトのホスト管理設定で使用するポリシーの詳細については、「AWS マネージドポリシー: AmazonSSMManagedEC2InstanceDefaultPolicy」を参照してください。デフォルトのホスト管理設定に関する詳細については、「デフォルトのホスト管理設定の使用」を参照してください。

重要

デフォルトのホスト管理設定を使用して登録されたインスタンスは、登録情報を /lib/amazon/ssm または C:\ProgramData\Amazon ディレクトリへローカルに保存します。これらのディレクトリやファイルを削除すると、インスタンスはデフォルトのホスト管理設定を使用して Systems Manager に接続するために必要な認証情報を取得できなくなります。このような場合は、インスタンスプロファイルを使用してインスタンスに必要なアクセス許可を付与するか、インスタンスを再作成する必要があります。

注記

この手順を実行できるのは、管理者のみです。ユーザー個人がデフォルトのホスト管理設定を設定または変更できるようにする場合は、最小特権アクセス許可を実装してください。Amazon EC2 インスタンスを自動的に管理する各 で AWS リージョン 、デフォルトのホスト管理設定を有効にする必要があります。

デフォルトのホスト管理設定を有効にするには

デフォルトのホスト管理設定は、Fleet Manager コンソールからオンにできます。 AWS Management Console または任意のコマンドラインツールを使用してこの手順を正常に完了するには、GetServiceSetting、、ResetServiceSettingおよび UpdateServiceSetting API オペレーションに対するアクセス許可が必要です。さらに、AWSSystemsManagerDefaultEC2InstanceManagementRole IAM ロールの iam:PassRole アクセス許可を付与する権限が必要です。以下は、ポリシーの例です。各リソースプレースホルダーの例をユーザー自身の情報に置き換えます。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"ssm:GetServiceSetting",
				"ssm:ResetServiceSetting",
				"ssm:UpdateServiceSetting"
			],
			"Resource": "arn:aws:ssm:region:account-id:servicesetting/ssm/managed-instance/default-ec2-instance-management-role"
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": "arn:aws:iam::account-id:role/service-role/AWSSystemsManagerDefaultEC2InstanceManagementRole",
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"ssm.amazonaws.com"
					]
				}
			}
		}
	]
}

開始する前に、Amazon EC2 インスタンスにインスタンスプロファイルが添付されている場合は、ssm:UpdateInstanceInformation オペレーションを許可する権限をすべて削除してください。SSM Agent は、デフォルトのホスト管理設定のアクセス許可を使用する前に、インスタンスプロファイルのアクセス許可を使用しようとします。インスタンスプロファイルで ssm:UpdateInstanceInformation オペレーションを許可すると、インスタンスはデフォルトのホスト管理設定のアクセス許可を使用しません。

  1. https://console.aws.amazon.com/systems-manager/ で AWS Systems Manager コンソールを開きます。

  2. ナビゲーションペインで、[Fleet Manager] を選択します。

    -または-

    AWS Systems Manager ホームページが最初に開いたら、メニューアイコン ( The menu icon ) を選択してナビゲーションペインを開き、ナビゲーションペインFleet Managerで を選択します。

  3. [アカウント管理] ドロップダウンの一覧で [デフォルトのホスト管理設定] をクリックします。

  4. [デフォルトのホスト管理設定を有効にする] をオンにします。

  5. インスタンスの Systems Manager 機能を有効にするために使用する IAM ロールを選択します。デフォルトのホスト管理設定で提供されるデフォルトのロールを使用することをお勧めします。このロールには、Systems Manager を使用して Amazon EC2 インスタンスを管理するために必要となる最小限のアクセス許可のセットが含まれています。カスタムロールを使用する場合は、ロールの信頼ポリシーで Systems Manager を信頼できるエンティティとして許可する必要があります。

  6. [設定] をクリックして、セットアップを完了します。

デフォルトのホスト管理設定をオンにした後、選択したロールの認証情報をインスタンスが使用できるようになるまでに 30 分かかる場合があります。デフォルトのホスト管理設定は、Amazon EC2 インスタンスを自動的に管理したい各リージョンで有効にする必要があります。

表示を増やす表示を減らす

代替設定

AWS Identity and Access Management (IAM) インスタンスプロファイルを使用すると、アクセス許可を個々のインスタンスレベルで付与することができます。インスタンスプロファイルは、起動時に IAM ロール情報を Amazon Elastic Compute Cloud (Amazon EC2) インスタンスに渡すコンテナです。Systems Manager のインスタンスプロファイルを作成するには、必要なアクセス許可を定義する 1 つ以上の IAM ポリシーを、新しいロールか、作成済みのロールにアタッチします。

注記

の一機能である を使用すると AWS Systems Manager、 内のすべてのインスタンスでインスタンスプロファイルをすばやく設定できます AWS アカウント。 は、IAM サービスロール (またはロールの継承) Quick Setup も作成します。これによりQuick Setup、Systems Manager はユーザーに代わってインスタンスでコマンドを安全に実行できます。Quick Setup を使用すると、このステップ (ステップ 3) とステップ 4 をスキップできます。詳細については、「AWS Systems Manager Quick Setup」を参照してください。

IAM インスタンスプロファイルの作成に関する次の詳細情報に注意してください。

  • Systems Manager のハイブリッドおよびマルチクラウド環境で非 EC2 を設定する場合、インスタンスプロファイルを作成する必要はありません。代わりに、IAM サービス ロールを使用するようにサーバーと VM を設定します。詳細については、「ハイブリッド環境に IAM サービスロールを作成する」を参照してください。

  • IAM インスタンスプロファイルを変更した場合、インスタンスの認証情報が更新されるまでに時間がかかることがあります。更新されるまで、SSM Agent はリクエストを処理しません。更新プロセスを高速化するには、SSM Agent を再起動するか、インスタンスを再起動します。

インスタンスプロファイルに新しいロールを作成するか、既存のロールに必要なアクセス許可を追加するかに応じて、以下のいずれかの手順を実行します。

Systems Manager マネージドインスタンスのインスタンスプロファイルを作成するには (コンソール)

  1. https://console.aws.amazon.com/iam/IAMコンソールを開きます。

  2. ナビゲーションペインで ロール を選択してから、ロールを作成する を選択します。

  3. [Trusted entity type] (信頼できるエンティティタイプ) で、[AWS のサービス] を選択します。

  4. [Use case] (ユースケース) で [EC2] を選択し、[Next] (次へ) を選択します。

  5. [アクセス許可を追加] ページで、以下を実行します。

    • 検索フィールドを使用して AmazonSSMManagedInstanceCore ポリシーを見つけます。名前の横にあるチェックボックスを選択します。

      IAM コンソールで EC2 サービスを選択する

      他のポリシーを検索しても、コンソールでは選択内容が保持されます。

    • 以前の手順 (オプション) S3 バケットへのアクセスのカスタムポリシーを作成する でカスタムの S3 バケットポリシーを作成した場合は、それを検索してその名前の横にあるチェックボックスをオンにします。

    • によって管理される Active Directory にインスタンスを結合する場合は AWS Directory Service、AmazonSSMDirectoryServiceAccess を検索し、その名前の横にあるチェックボックスをオンにします。

    • EventBridge または CloudWatch Logs を使用してインスタンスを管理またはモニタリングする場合は、名前の横にあるチェックボックスを検索CloudWatchAgentServerPolicyして選択します。

  6. [次へ] を選択します。

  7. [Role name] (ロール名) に、新しいインスタンスプロファイルの名前 (SSMInstanceProfile など) を入力します。

    注記

    ロール名を書き留めます。このロール名は、Systems Manager を使用して管理するインスタンスを新しく作成する際に選択します。

  8. (オプション) [Description] (説明) にある、このインスタンスプロファイルの説明を更新します。

  9. (オプション) [Tags] (タグ) で、1 つ以上のタグキーと値のペアを追加し、このロールのアクセスを整理、追跡、制御して、[Create role] (ロールの作成) を選択します。ロールページが再度表示されます。

表示を増やす表示を減らす
Systems Manager のインスタンスプロファイルのアクセス許可を既存のロールに追加するには (コンソール)

  1. IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

  2. ナビゲーションペインで、[ロール] を選択して、Systems Manager オペレーションのためにインスタンスプロファイルに関連付ける既存のロールを選択します。

  3. [Permissions] (アクセス許可) タブで、[Add permissions, Attach policies] (アクセス許可の追加、ポリシーのアタッチ) をクリックします。

  4. [Attach Policy ] (ポリシーのアタッチ) ページで、次の操作を実行します。

    • 検索フィールドを使用して AmazonSSMManagedInstanceCore ポリシーを見つけます。名前の横にあるチェックボックスを選択します。

    • カスタムの S3 バケットポリシーを作成した場合は、その名前の横にあるチェックボックスをオンにします。インスタンスプロファイルのカスタム S3 バケットポリシーについては、「(オプション) S3 バケットへのアクセスのカスタムポリシーを作成する」を参照してください。

    • によって管理される Active Directory にインスタンスを結合する場合は AWS Directory Service、AmazonSSMDirectoryServiceAccess を検索し、その名前の横にあるチェックボックスをオンにします。

    • EventBridge または CloudWatch Logs を使用してインスタンスを管理またはモニタリングする場合は、名前の横にあるチェックボックスを検索CloudWatchAgentServerPolicyして選択します。

  5. [ポリシーのアタッチ] を選択します。

表示を増やす表示を減らす

信頼できるエンティティを含むように、またはさらにアクセスを制限するようにロールを更新する方法については、IAM ユーザーガイドの「ロールの修正」を参照してください。

(オプション) S3 バケットへのアクセスのカスタムポリシーを作成する

Amazon S3 アクセス用のカスタムポリシーは、VPC エンドポイントを使用している場合、または Systems Manager オペレーションに独自の S3 バケットを使用している場合にのみ作成する必要があります。このポリシーは、デフォルトのホスト管理設定で作成されたデフォルトの IAM ロール、または前の手順で作成したインスタンスプロファイルにアタッチできます。

次のポリシーでアクセスを提供する AWS マネージド S3 バケットの詳細については、「」を参照してくださいSSM Agent と AWS マネージド S3 バケットとの通信。

  1. https://console.aws.amazon.com/iam/ で IAM コンソール を開きます。

  2. ナビゲーションペインで ポリシーを選択してから ポリシーの作成を選択します。

  3. [JSON] タブを選択し、デフォルトのテキストを次に置き換えます。

    {
    "Version": "2012-10-17",
    "Statement": [
        
                                    Footnote callout 1
                                {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::aws-ssm-region/*",
                "arn:aws:s3:::aws-windows-downloads-region/*",
                "arn:aws:s3:::amazon-ssm-region/*",
                "arn:aws:s3:::amazon-ssm-packages-region/*",
                "arn:aws:s3:::region-birdwatcher-prod/*",
                "arn:aws:s3:::aws-ssm-distributor-file-region/*",
                "arn:aws:s3:::aws-ssm-document-attachments-region/*",
                "arn:aws:s3:::patch-baseline-snapshot-region/*"
            ]
        },
        
                                    Footnote callout 2
                                {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl", 
                                    Footnote callout 3
                                
                "s3:GetEncryptionConfiguration" 
                                    Footnote callout 4
                                
            ],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*",
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET" 
                                    Footnote callout 5
                                
            ]
        }
    ]
}

    1 最初の Statement エレメントは、VPC エンドポイントを使用する場合にのみ必要です。

    2 2 番目の Statement エレメントは、Systems Manager オペレーションで使用するために作成した S3 バケットを使用する場合にのみ必要です。

    3 PutObjectAcl アクセスコントロールリストは、他のアカウントで S3 バケットへのクロスアカウントアクセスをサポートする場合にのみ必要です。

    4 S3 バケットが暗号化を使用するように設定されている場合、GetEncryptionConfiguration エレメントが必要です。

    5 S3 バケットが暗号化を使用するように設定されている場合、S3 バケットのルート (例: arn:aws:s3:::DOC-EXAMPLE-BUCKET) が [リソース] セクションに表示されている必要があります。ユーザー、グループ、またはロールに、ルートバケットへのアクセスを設定する必要があります。

  4. オペレーションで VPC エンドポイントを使用する場合は、以下の操作を行います。

    最初の Statement エレメントで、region の各プレースホルダーを、このポリシーが使用される AWS リージョン の識別子に置き換えます。例えば、米国東部 (オハイオ) リージョンの場合は、us-east-2 を使用します。サポートされている region 値の一覧については、「Amazon Web Services 全般のリファレンス」の「Systems Manager サービスエンドポイント」にある Region 列を参照してください。

    重要

    このポリシーの特定のリージョンの代わりにワイルドカード文字 (*) を使用しないことをお勧めします。たとえば、arn:aws:s3:::aws-ssm-us-east-2/* を使用して、arn:aws:s3:::aws-ssm-*/* は使用しないでください。ワイルドカードを使用すると、アクセスを付与する S3 バケットへのアクセス権が付与される場合があります。複数のリージョンでインスタンスプロファイルを使用する場合は、各リージョンの最初の Statement エレメントを繰り返すことをお勧めします。

    -または-

    オペレーションで VPC エンドポイントを使用しない場合は、最初の Statement エレメントは削除することができます。

  5. Systems Manager オペレーションで独自の S3 バケットを使用する場合は、以下の操作を行います。

    2 つめの Statement エレメントで、DOC-EXAMPLE-BUCKET をアカウントの S3 バケットの名前に置き換えます。このバケットは、Systems Manager のオペレーションに使用します。バケットのオブジェクトにアクセス許可を付与します。この際、"arn:aws:s3:::my-bucket-name/*" をリソースとして使用します。バケット、またはバケットのオブジェクトに許可を付与する方法については、Amazon Simple Storage Service ユーザーガイドのトピック「Amazon S3 アクション」および AWS ブログ記事「IAM ポリシーとバケットポリシーと ACL!」を参照してください。Oh, My! (Controlling Access to S3 Resources)。

    注記

    複数のバケットを使用する場合は、それぞれの ARN を入力します。バケットのアクセス許可については、次の例を参照してください。

    "Resource": [
"arn:aws:s3:::DOC-EXAMPLE-BUCKET1/*",
"arn:aws:s3:::DOC-EXAMPLE-BUCKET2/*"
               ]

    -または-

    Systems Manager オペレーションで独自の S3 バケットを使用していない場合は、2 つめの Statement エレメントは削除できます。

  6. [次へ: タグ] を選択します。

  7. (オプション) [Add tag] (タグを追加) を選択してタグを追加し、ポリシーの優先タグを入力します。

  8. [次へ: 確認] を選択します。

  9. [Name] (名前) に、このポリシーを識別するための名前 (SSMInstanceProfileS3Policy など) を入力します。

  10. [ポリシーの作成] を選択します。

マネージドインスタンスのポリシーに関するその他の考慮事項

このセクションでは、デフォルトのホスト管理設定で作成されたデフォルトの IAM ロール、または AWS Systems Managerのインスタンスプロファイルに追加できるポリシーについて説明します。インスタンスと Systems Manager API 間における通信の許可を付与する場合、システムのニーズとセキュリティ要件を反映したカスタムポリシーを作成することをお勧めします。オペレーションプランによっては、他の 1 つまたは複数のポリシーに設定されているアクセス許可が必要になる場合があります。

ポリシー: AmazonSSMDirectoryServiceAccess

Windows Server の Amazon EC2 インスタンスを Microsoft AD ディレクトリに結合する場合にのみ必要です。

この AWS 管理ポリシーはSSM Agent、マネージドインスタンスによるドメインへの参加リクエストに対して、 が AWS Directory Service ユーザーに代わって にアクセスすることを許可します。詳細については、 AWS Directory Service 管理ガイドの 「Windows EC2 インスタンスにシームレスに参加する」を参照してください。

ポリシー: CloudWatchAgentServerPolicy

インスタンスに CloudWatch エージェントをインストールして実行し、インスタンスでメトリクスを読み取り、データをログに記録し、Amazon に書き込む場合にのみ必要です CloudWatch。これらは、 AWS リソースの問題や変更をモニタリング、分析、および迅速に対応するために役立ちます。

デフォルトのホスト管理設定またはインスタンスプロファイルによって作成されたデフォルトの IAM ロールには、Amazon EventBridge や Amazon CloudWatch Logs などの機能を使用する場合にのみ、このポリシーが必要です。（例えば、特定の CloudWatch Logs ログストリームへの書き込みアクセスを制限する、より制限の厳しいポリシーを作成することもできます）。

注記

EventBridge および CloudWatch ログ機能の使用はオプションです。ただし、使用することにした場合は、Systems Manager の設定プロセスの最初にそれらを設定することをお勧めします。詳細については、「Amazon EventBridge ユーザーガイド」および「Amazon CloudWatch Logs ユーザーガイド」を参照してください。

追加の Systems Manager 機能のアクセス許可を含む IAM ポリシーを作成するには、次のリソースを参照してください。

インスタンスに Systems Manager インスタンスプロファイルを添付する (コンソール)

  1. にサインイン AWS Management Console し、https://console.aws.amazon.com/ec2/ で Amazon EC2 コンソールを開きます。

  2. ナビゲーションペインで、[Instances] の下にある [Instances] を選択します。

  3. リストから EC2 インスタンスに移動して選択します。

  4. [アクション] メニューで、[セキュリティ]、[IAM ロールの変更] の順に選択します。

  5. [IAM ロール] で、代替設定 の手順に従って作成したインスタンスプロファイルを選択します。

  6. [Update IAM role] (IAM ロールの更新) を選択します。

インスタンスへの IAM ロールのアタッチの詳細については、選択したオペレーティングシステムのタイプに応じて、次のいずれかを選択してください。

「ステップ 2: VPC エンドポイントを作成する」に進みます。