AWSSupport-GrantPermissionsToIAMUser

설명

이 실행서는 지정된 권한을 IAM 그룹(신규 또는 기존)에 부여하고 기존 IAM 사용자를 이 그룹에 추가합니다. 선택할 수 있는 정책은 결제 또는 지원입니다. IAM에 대한 결제 액세스를 활성화하려면 Billing and Cost Management 페이지에 대한 IAM 사용자 및 연합된 사용자 액세스도 활성화해야 합니다.

중요

기존 IAM 그룹을 제공할 경우 해당 그룹의 모든 현재 IAM 사용자가 새 권한을 받게 됩니다.

이 자동화 실행(콘솔)

문서 유형

자동화

소유자

Amazon

플랫폼

Linux, macOS, Windows

Parameters

• AutomationAssumeRole

  타입: 문자열

  설명: (선택 사항) 사용자를 대신하여 Systems Manager Automation을 통해 작업을 수행할 수 있도록 허용하는 AWS Identity and Access Management (IAM) 역할의 Amazon 리소스 이름(ARN)입니다. 역할을 지정하지 않은 경우, Systems Manager Automation에서는 이 실행서를 시작하는 사용자의 권한을 사용합니다.

• IAM GroupName

  타입: 문자열

  기본값: ExampleSupportAndBillingGroup

  설명: (필수) 신규 또는 기존 그룹일 수 있습니다. IAM 엔터티 이름 제한을 준수해야 합니다.

• IAM UserName

  타입: 문자열

  기본값: ExampleUser

  설명: (필수) 기존 사용자여야 합니다.

• LambdaAssumeRole

  타입: 문자열

  설명: (선택 사항) Lambda에서 수임하는 역할의 ARN입니다.

• 권한

  타입: 문자열

  유효한 값: SupportFullAccess | BillingFullAccess | SupportAndBillingFullAccess

  기본값: SupportAndBillingFullAccess

  설명: (필수) 다음 중 하나 선택: SupportFullAccess에서 지원 센터에 대한 모든 액세스 권한 부여. BillingFullAccess에서 결제 대시보드에 대한 모든 액세스 권한 부여. SupportAndBillingFullAccess에서 지원 센터 및 결제 대시보드 모두에 대해 모든 액세스 권한 부여. 문서 세부 정보의 정책에 대한 추가 정보를 참조하세요.

필수 IAM 권한

실행서를 성공적으로 사용하려면 AutomationAssumeRole 파라미터에 다음 작업이 필요합니다.

필요한 AWSSupport-GrantPermissionsToIAMUser 권한은 실행 방식에 따라 달라집니다.

현재 로그인한 사용자 또는 역할로 실행

연결된 AmazonSSMAutomationRole Amazon 관리형 정책과, Lambda 함수를 생성하고 IAM 역할을 Lambda로 전달할 수 있는 다음 추가 권한을 보유하는 것이 좋습니다.

{
                    "Version": "2012-10-17",
                    "Statement": [
                        {
                            "Action": [
                                "lambda:InvokeFunction",
                                "lambda:CreateFunction",
                                "lambda:DeleteFunction",
                                "lambda:GetFunction"
                            ],
                            "Resource": "arn:aws:lambda:*:ACCOUNTID:function:AWSSupport-*",
                            "Effect": "Allow"
                        },
                        {
                            "Effect" : "Allow",
                            "Action" : [
                                "iam:CreateGroup",
                                "iam:AddUserToGroup",
                                "iam:ListAttachedGroupPolicies",
                                "iam:GetGroup",
                                "iam:GetUser"
                            ],
                            "Resource" : [
                                "arn:aws:iam::*:user/*",
                                "arn:aws:iam::*:group/*"
                            ]
                        },
                        {
                            "Effect" : "Allow",
                            "Action" : [
                                "iam:AttachGroupPolicy"
                            ],
                            "Resource": "*",
                            "Condition": {
                                "ArnEquals": {
                                    "iam:PolicyArn": [
                                        "arn:aws:iam::aws:policy/job-function/Billing",
                                        "arn:aws:iam::aws:policy/AWSSupportAccess"
                                    ]
                                }
                            }
                        },
                        {
                            "Effect" : "Allow",
                            "Action" : [
                                "iam:ListAccountAliases",
                                "iam:GetAccountSummary"
                            ],
                            "Resource" : "*"
                        }
                    ]
                }

사용 AutomationAssumeRole 및 LambdaAssumeRole

사용자는 런북에 대한 ssm: StartAutomationExecution 권한이 있고, 및 로 전달된 IAM 역할에 PassRole 대한 iam:가 있어야 합니다. AutomationAssumeRoleLambdaAssumeRole 각 IAM 역할에 필요한 권한은 다음과 같습니다.

AutomationAssumeRole

                    {
                        "Version": "2012-10-17",
                        "Statement": [
                            {
                                "Action": [
                                    "lambda:InvokeFunction",
                                    "lambda:CreateFunction",
                                    "lambda:DeleteFunction",
                                    "lambda:GetFunction"
                                ],
                                "Resource": "arn:aws:lambda:*:ACCOUNTID:function:AWSSupport-*",
                                "Effect": "Allow"
                            }
                        ]
                    }
            

LambdaAssumeRole

                {
                    "Version": "2012-10-17",
                    "Statement": [
                        {
                            "Effect" : "Allow",
                            "Action" : [
                                "iam:CreateGroup",
                                "iam:AddUserToGroup",
                                "iam:ListAttachedGroupPolicies",
                                "iam:GetGroup",
                                "iam:GetUser"
                            ],
                            "Resource" : [
                                "arn:aws:iam::*:user/*",
                                "arn:aws:iam::*:group/*"
                            ]
                        },
                        {
                            "Effect" : "Allow",
                            "Action" : [
                                "iam:AttachGroupPolicy"
                            ],
                            "Resource": "*",
                            "Condition": {
                                "ArnEquals": {
                                    "iam:PolicyArn": [
                                        "arn:aws:iam::aws:policy/job-function/Billing",
                                        "arn:aws:iam::aws:policy/AWSSupportAccess"
                                    ]
                                }
                            }
                        },
                        {
                            "Effect" : "Allow",
                            "Action" : [
                                "iam:ListAccountAliases",
                                "iam:GetAccountSummary"
                            ],
                            "Resource" : "*"
                        }
                    ]
                }
            

문서 단계

1. aws:createStack- AWS CloudFormation 템플릿을 실행하여 Lambda 함수를 생성합니다.

2. aws:invokeLambdaFunction - Lambda를 실행하여 IAM 권한을 설정합니다.

3. aws:deleteStack- 템플릿 삭제 CloudFormation .

출력

configureIAM.Payload