기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
AWS Systems Manager에 사용되는 작업, 리소스 및 조건 키
AWS Systems Manager (서비스 접두사:ssm) 는 IAM 권한 정책에 사용할 수 있는 다음과 같은 서비스별 리소스, 작업 및 조건 컨텍스트 키를 제공합니다.
참조:
-
이 서비스의 구성 방법을 알아봅니다.
-
이 서비스에 사용 가능한 API 작업 목록을 봅니다.
-
IAM 권한 정책을 사용하여 이 서비스와 리소스를 보호하는 방법을 알아봅니다.
AWS Systems Manager에서 정의한 작업
IAM 정책 설명의 Action 요소에서는 다음 작업을 지정할 수 있습니다. 정책을 사용하여 AWS에서 작업할 수 있는 권한을 부여합니다. 정책에서 작업을 사용하면 일반적으로 이름이 같은 API 작업 또는 CLI 명령에 대한 액세스를 허용하거나 거부합니다. 그러나 경우에 따라 하나의 작업으로 둘 이상의 작업에 대한 액세스가 제어됩니다. 또는 일부 작업을 수행하려면 다양한 작업이 필요합니다.
작업 테이블의 리소스 유형 열에는 각 작업이 리소스 수준 권한을 지원하는지 여부가 표시됩니다. 리소스 열에 값이 없으면 정책 문의 Resource 요소에서 정책이 적용되는 모든 리소스("*")를 지정해야 합니다. 리소스 열에 리소스 유형이 포함되어 있으면 해당 작업 시 문에서 해당 유형의 ARN을 지정할 수 있습니다. 작업에 필요한 리소스가 하나 이상 있는 경우, 호출자에게 해당 리소스와 함께 작업을 사용할 수 있는 권한이 있어야 합니다. 필수 리소스는 테이블에서 별표(*)로 표시됩니다. IAM 정책의 Resource 요소로 리소스 액세스를 제한하는 경우, 각 필수 리소스 유형에 대해 ARN 또는 패턴을 포함해야 합니다. 일부 작업은 다수의 리소스 유형을 지원합니다. 리소스 유형이 옵션(필수 리소스로 표시되지 않은 경우)인 경우에는 선택적 리소스 유형 중 하나를 사용하도록 선택할 수 있습니다.
작업 테이블의 조건 키 열에는 정책 설명의 Condition 요소에서 지정할 수 있는 키가 포함됩니다. 서비스의 리소스와 연결된 조건 키에 대한 자세한 내용은 리소스 유형 테이블의 조건 키 열을 참조하세요.
참고
리소스 조건 키는 리소스 유형 표에 나열되어 있습니다. 작업에 적용되는 리소스 유형에 대한 링크는 리소스 유형(*필수) 작업 표의 열에서 찾을 수 있습니다. 리소스 유형 테이블의 리소스 유형에는 조건 키 열이 포함되고 이는 작업 표의 작업에 적용되는 리소스 조건 키입니다.
다음 테이블의 열에 대한 자세한 내용은 작업 테이블을 참조하세요.
| 작업 | 설명 | 액세스 레벨 | 리소스 유형(*필수) | 조건 키 | 종속 작업 |
|---|---|---|---|---|---|
| AddTagsToResource | 지정된 리소스에 하나 이상의 태그를 추가하거나 덮어쓸 수 있는 권한을 부여합니다. AWS | 태그 지정 | |||
| AssociateOpsItemRelatedItem | RelatedItem 연결할 권한을 부여합니다. OpsItem | 쓰기 | |||
| CancelCommand | 지정된 Run Command 명령을 취소할 수 있는 권한을 부여합니다. | Write | |||
| CancelMaintenanceWindowExecution | 진행 중인 유지 관리 기간 실행을 취소할 수 있는 권한을 부여합니다. | Write | |||
| CreateActivation | 온프레미스 서버 및 가상 머신(VM)을 Systems Manager에 등록하는 데 사용되는 활성화를 생성할 수 있는 권한을 부여합니다. | Write | |||
| CreateAssociation | 지정된 Systems Manager 문서를 지정된 인스턴스 또는 다른 대상과 연결할 수 있는 권한을 부여합니다. | 쓰기 | |||
| CreateAssociationBatch | 여러 CreateAssociation 작업에 대한 항목을 단일 명령으로 결합할 수 있는 권한을 부여합니다. | 쓰기 | |||
| CreateDocument | Systems Manager SSM 문서를 생성할 수 있는 권한을 부여합니다. | Write |
iam:PassRole |
||
| CreateMaintenanceWindow | 유지 관리 기간을 생성할 수 있는 권한을 부여합니다. | 쓰기 | |||
| CreateOpsItem | 인을 만들 수 있는 권한을 OpsItem 부여합니다. OpsCenter | 쓰기 | |||
| CreateOpsMetadata | AWS 리소스의 OpsMetadata 객체를 생성할 권한을 부여합니다. | 쓰기 | |||
| CreatePatchBaseline | 패치 기준을 생성할 수 있는 권한을 부여합니다. | Write | |||
| CreateResourceDataSync | 리소스 데이터 동기화 구성을 생성할 수 있는 권한을 부여합니다. 이 권한은 관리형 인스턴스에서 인벤토리 데이터를 정기적으로 수집하고 Amazon S3 버킷에서 해당 데이터를 업데이트합니다. | Write | |||
| DeleteActivation | 관리형 인스턴스에 대해 지정된 활성화를 삭제할 수 있는 권한을 부여합니다. | Write | |||
| DeleteAssociation | 지정된 인스턴스에서 지정된 SSM 문서의 연결을 해제할 수 있는 권한을 부여합니다. | Write | |||
| DeleteDocument | 지정된 SSM 문서와 해당 인스턴스 연결을 삭제할 수 있는 권한을 부여합니다. | Write | |||
| DeleteInventory | 지정된 사용자 지정 인벤토리 유형 또는 사용자 지정 인벤토리 유형과 연결된 데이터를 삭제할 수 있는 권한을 부여합니다. | Write | |||
| DeleteMaintenanceWindow | 지정된 유지 관리 기간을 삭제할 수 있는 권한을 부여합니다. | 쓰기 | |||
| DeleteOpsItem | 삭제 권한을 부여합니다. OpsItem | 쓰기 | |||
| DeleteOpsMetadata | OpsMetadata 객체를 삭제할 권한을 부여합니다. | 쓰기 | |||
| DeleteParameter | 지정된 SSM 파라미터를 삭제할 수 있는 권한을 부여합니다. | Write | |||
| DeleteParameters | 여러 개의 지정된 SSM 파라미터를 삭제할 수 있는 권한을 부여합니다. | Write | |||
| DeletePatchBaseline | 지정된 패치 기준을 삭제할 수 있는 권한을 부여합니다. | Write | |||
| DeleteResourceDataSync | 지정된 리소스 데이터 동기화를 삭제할 수 있는 권한을 부여합니다. | 쓰기 | |||
| DeleteResourcePolicy | Systems Manager 리소스 정책을 삭제할 수 있는 권한을 부여합니다. | 권한 관리 | |||
| DeregisterManagedInstance | Systems Manager에서 지정된 온프레미스 서버 또는 가상 머신(VM)의 등록을 취소할 수 있는 권한을 부여합니다. | Write | |||
| DeregisterPatchBaselineForPatchGroup | 지정된 패치 기준이 지정된 패치 그룹의 기본 패치 기준이 되지 않도록 등록을 취소할 수 있는 권한을 부여합니다. | Write | |||
| DeregisterTargetFromMaintenanceWindow | 유지 관리 기간에서 지정된 대상의 등록을 취소할 수 있는 권한을 부여합니다. | Write | |||
| DeregisterTaskFromMaintenanceWindow | 유지 관리 기간에서 지정된 작업의 등록을 취소할 수 있는 권한을 부여합니다. | Write | |||
| DescribeActivations | 지정된 관리형 인스턴스 활성화에 대한 세부 정보(예: 생성 시점 및 활성화를 사용하여 등록된 인스턴스 수)를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeAssociation | 지정된 인스턴스 또는 대상의 지정된 연결에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeAssociationExecutionTargets | 지정된 연결 실행에 대한 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeAssociationExecutions | 지정된 연결에 대한 모든 실행을 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeAutomationExecutions | 모든 활성 및 종료된 자동화 실행에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeAutomationStepExecutions | 자동화 워크플로에서 모든 활성 및 종료된 단계 실행에 대한 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeAvailablePatches | 패치 기준에 포함할 수 있는 모든 패치를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeDocument | 지정된 SSM 문서에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeDocumentParameters | Systems Manager 콘솔에서 SSM 문서 파라미터에 대한 정보를 표시할 수 있는 권한을 부여합니다(내부 Systems Manager 작업). | Read | |||
| DescribeDocumentPermission | 지정된 SSM 문서에 대한 권한을 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeEffectiveInstanceAssociations | 지정된 인스턴스에 대한 모든 현재 연결을 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeEffectivePatchesForPatchBaseline | 지정된 패치 기준과 현재 연결된 패치에 대한 세부 정보를 볼 수 있는 권한을 부여합니다(Windows에만 해당). | Read | |||
| DescribeInstanceAssociationsStatus | 지정된 인스턴스에 대한 연결 상태를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeInstanceInformation | 지정된 인스턴스에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeInstancePatchStates | 지정된 인스턴스의 패치에 대한 상태 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeInstancePatchStatesForPatchGroup | 지정된 패치 그룹의 인스턴스에 대한 상위 수준 패치 상태를 설명할 수 있는 권한을 부여합니다. | Read | |||
| DescribeInstancePatches | 지정된 인스턴스의 패치에 대한 일반 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeInstanceProperties | 사용자의 Amazon EC2 콘솔에 관리형 인스턴스의 노드를 렌더링할 수 있는 권한을 부여합니다. | Read | |||
| DescribeInventoryDeletions | 지정된 인벤토리 삭제에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| DescribeMaintenanceWindowExecutionTaskInvocations | 유지 관리 기간에 대해 지정된 작업 실행의 세부 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeMaintenanceWindowExecutionTasks | 지정된 유지 관리 기간 실행 중에 실행된 작업에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeMaintenanceWindowExecutions | 지정된 유지 관리 기간의 실행을 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeMaintenanceWindowSchedule | 지정된 유지 관리 기간의 예정된 실행에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeMaintenanceWindowTargets | 지정된 유지 관리 기간과 연결된 대상 목록을 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeMaintenanceWindowTasks | 지정된 유지 관리 기간과 연결된 작업 목록을 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeMaintenanceWindows | 모든 유지 관리 기간 또는 지정된 유지 관리 기간에 대한 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeMaintenanceWindowsForTarget | 지정된 인스턴스와 연결된 유지 관리 기간 대상 및 작업에 대한 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeOpsItems | 지정된 항목에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. OpsItems | 읽기 | |||
| DescribeParameters | 지정된 SSM 파라미터에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribePatchBaselines | 지정된 조건을 충족하는 패치 기준에 대한 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribePatchGroupState | 지정된 패치 그룹에 대한 패치의 집계된 상태 세부 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribePatchGroups | 지정된 패치 그룹의 패치 기준에 대한 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribePatchProperties | 지정된 운영 체제 및 패치 속성에 대해 사용 가능한 패치의 세부 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeSessions | 지정된 검색 조건을 충족하는 최근 Session Manager 세션 목록을 볼 수 있는 권한을 부여합니다. | 나열 | |||
| DisassociateOpsItemRelatedItem | 연결을 RelatedItem 끊을 수 있는 권한을 부여합니다. OpsItem | 쓰기 | |||
| GetAutomationExecution | 지정된 자동화 실행의 세부 정보를 볼 수 있는 권한을 부여합니다. | 읽기 | |||
| GetCalendar [권한만 해당] | 특정 일정의 세부 정보를 보는 권한을 부여합니다. | 읽기 | |||
| GetCalendarState | 변경 일정 또는 변경 일정 목록의 일정 상태를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetCommandInvocation | 지정된 호출 또는 플러그인의 명령 실행에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetConnectionStatus | 지정된 관리형 인스턴스에 대한 Session Manager 연결 상태를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetDefaultPatchBaseline | 지정된 운영 체제 유형에 대한 현재 기본 패치 기준을 볼 수 있는 권한을 부여합니다. | Read | |||
| GetDeployablePatchSnapshotForInstance | 지정된 인스턴스에 대한 현재 패치 기준 스냅샷을 검색할 수 있는 권한을 부여합니다. | Read | |||
| GetDocument | 지정된 SSM 문서의 콘텐츠를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetInventory | 지정된 기준에 따라 인스턴스 인벤토리 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetInventorySchema | 지정된 인벤토리 항목 유형에 대한 인벤토리 유형 또는 속성 이름 목록을 볼 수 있는 권한을 부여합니다. | Read | |||
| GetMaintenanceWindow | 지정된 유지 관리 기간에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetMaintenanceWindowExecution | 지정된 유지 관리 기간 실행에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetMaintenanceWindowExecutionTask | 지정된 유지 관리 기간 실행 작업에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetMaintenanceWindowExecutionTaskInvocation | 특정 대상에서 실행 중인 특정 유지 관리 기간 작업에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetMaintenanceWindowTask | 지정된 유지 관리 기간에 등록된 작업에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. | 읽기 | |||
| GetManifest [권한만 해당] | Systems Manager 및 SSM Agent가 인스턴스에 대한 패키지 설치 요구 사항을 결정할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). | 읽기 | |||
| GetOpsItem | 지정된 항목에 대한 정보를 볼 수 있는 권한을 부여합니다. OpsItem | 읽기 | |||
| GetOpsMetadata | OpsMetadata 객체를 검색할 권한을 부여합니다. | 읽기 | |||
| GetOpsSummary | 지정된 필터 및 애그리게이터를 OpsItems 기반으로 하는 요약 정보를 볼 수 있는 권한을 부여합니다. | 읽기 | |||
| GetParameter | 지정된 파라미터에 대한 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetParameterHistory | 지정된 파라미터에 대한 세부 정보 및 변경 사항을 볼 수 있는 권한을 부여합니다. | Read | |||
| GetParameters | 지정된 여러 파라미터에 대한 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetParametersByPath | 지정된 계층 구조의 파라미터에 대한 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetPatchBaseline | 지정된 패치 기준에 대한 정보를 볼 수 있는 권한을 부여합니다. | Read | |||
| GetPatchBaselineForPatchGroup | 지정된 패치 그룹에 대한 현재 패치 기준의 ID를 볼 수 있는 권한을 부여합니다. | 읽기 | |||
| GetResourcePolicies | Systems Manager 리소스 정책을 검색할 수 있는 권한을 부여합니다. | 나열 | |||
| GetServiceSetting | 서비스의 계정 수준 설정을 볼 수 있는 권한을 부여합니다. AWS | 읽기 | |||
| LabelParameterVersion | 파라미터의 지정된 버전에 식별 레이블을 적용할 수 있는 권한을 부여합니다. | Write | |||
| ListAssociationVersions | 지정된 연결의 버전을 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListAssociations | 지정된 SSM 문서 또는 관리형 인스턴스에 대한 연결을 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListCommandInvocations | 지정된 인스턴스로 전송된 명령 호출에 대한 정보를 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListCommands | 지정된 인스턴스에 전송된 명령을 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListComplianceItems | 지정된 리소스의 지정된 리소스 유형에 대한 규정 준수 상태를 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListComplianceSummaries | 지정된 규정 준수 유형에 대한 규정 준수 및 비준수 리소스의 요약 수를 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListDocumentMetadataHistory | 지정된 SSM 문서에 대한 메타데이터 기록을 볼 수 있는 권한을 부여합니다. | 나열 | |||
| ListDocumentVersions | 지정된 문서의 모든 버전을 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListDocuments | 지정된 SSM 문서에 대한 정보를 볼 수 있는 권한을 부여합니다. | 나열 | |||
| ListInstanceAssociations | SSM Agent에 새 State Manager 연결을 확인할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). | 나열 | |||
| ListInventoryEntries | 지정된 인스턴스에 대해 지정된 인벤토리 유형 목록을 볼 수 있는 권한을 부여합니다. | 나열 | |||
| ListOpsItemEvents | 에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. OpsItemEvents | 나열 | |||
| ListOpsItemRelatedItems | 에 대한 세부 정보를 볼 수 있는 권한을 부여합니다. OpsItem RelatedItems | 나열 | |||
| ListOpsMetadata | OpsMetadata 개체 목록을 볼 수 있는 권한을 부여합니다. | 나열 | |||
| ListResourceComplianceSummaries | 리소스 수준 요약 개수를 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListResourceDataSync | 계정의 리소스 데이터 동기화 구성에 대한 정보를 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListTagsForResource | 지정된 리소스에 대한 리소스 태그 목록을 볼 수 있는 권한을 부여합니다. | 나열 | |||
| ModifyDocumentPermission | 사용자 지정 SSM 문서를 지정된 계정과 공개 또는 비공개로 공유할 수 있는 권한을 부여합니다. AWS | 권한 관리 | |||
| PutCalendar [권한만 해당] | 특정 일정을 생성/편집하는 권한을 부여합니다. | 쓰기 | |||
| PutComplianceItems | 지정된 리소스에 규정 준수 유형 및 기타 규정 준수 세부 정보를 등록할 수 있는 권한을 부여합니다. | 쓰기 | |||
| PutConfigurePackageResult [권한만 해당] | SSM Agent가 특정 에이전트 요청 결과 보고서를 생성할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). | 읽기 | |||
| PutInventory | 지정된 여러 관리형 인스턴스에서 인벤토리 항목을 추가하거나 업데이트할 수 있는 권한을 부여합니다. | Write | |||
| PutParameter | SSM 파라미터를 생성할 수 있는 권한을 부여합니다. | 쓰기 | |||
| PutResourcePolicy | Systems Manager 리소스 정책을 생성하거나 업데이트할 수 있는 권한을 부여합니다. | 권한 관리 | |||
| RegisterDefaultPatchBaseline | 운영 체제 유형에 대한 기본 패치 기준을 지정할 수 있는 권한을 부여합니다. | 쓰기 | |||
| RegisterManagedInstance | Systems Manager Agent를 등록할 수 있는 권한을 부여합니다. | 쓰기 | |||
| RegisterPatchBaselineForPatchGroup | 지정된 패치 그룹에 대한 기본 패치 기준을 지정할 수 있는 권한을 부여합니다. | Write | |||
| RegisterTargetWithMaintenanceWindow | 지정된 유지 관리 기간에 대상을 등록할 수 있는 권한을 부여합니다. | Write | |||
| RegisterTaskWithMaintenanceWindow | 지정된 유지 관리 기간에 작업을 등록할 수 있는 권한을 부여합니다. | Write | |||
| RemoveTagsFromResource | 지정된 리소스에서 지정된 태그 키를 제거할 수 있는 권한을 부여합니다. | 태그 지정 | |||
| ResetServiceSetting | 서비스 설정을 기본값으로 재설정할 수 있는 AWS 계정 권한을 부여합니다. | 쓰기 | |||
| ResumeSession | 관리형 인스턴스에 Session Manager 세션을 다시 연결할 수 있는 권한을 부여합니다. | Write | |||
| SendAutomationSignal | 지정된 자동화 실행의 현재 동작 또는 상태를 변경하기 위한 신호를 보낼 수 있는 권한을 부여합니다. | Write | |||
| SendCommand | 하나 이상의 지정된 관리형 인스턴스에서 명령을 실행할 수 있는 권한을 부여합니다. | Write | |||
| StartAssociationsOnce | 지정된 연결을 수동으로 실행할 수 있는 권한을 부여합니다. | Write | |||
| StartAutomationExecution | 자동화 문서의 실행을 시작할 수 있는 권한을 부여합니다. | Write | |||
| StartChangeRequestExecution | 자동화 변경 템플릿 문서의 실행을 시작할 수 있는 권한을 부여합니다. | Write | |||
| StartSession | Session Manager 세션에 대해 지정된 대상에 대한 연결을 시작할 수 있는 권한을 부여합니다. | Write | |||
| StopAutomationExecution | 이미 진행 중인 지정된 자동화 실행을 중지할 수 있는 권한을 부여합니다. | Write | |||
| TerminateSession | 인스턴스에 대한 Session Manager 연결을 영구적으로 종료할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UnlabelParameterVersion | 파라미터의 지정된 버전에서 식별 레이블을 제거할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UpdateAssociation | 연결을 업데이트하고 지정된 대상에서 연결을 즉시 실행할 수 있는 권한을 부여합니다. | Write | |||
| UpdateAssociationStatus | 지정된 인스턴스와 연결된 SSM 문서의 상태를 업데이트할 수 있는 권한을 부여합니다. | Write | |||
| UpdateDocument | SSM 문서에 대해 하나 이상의 값을 업데이트할 수 있는 권한을 부여합니다. | Write | |||
| UpdateDocumentDefaultVersion | SSM 문서의 기본 버전을 변경할 수 있는 권한을 부여합니다. | Write | |||
| UpdateDocumentMetadata | SSM 문서의 메타데이터를 업데이트할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UpdateInstanceAssociationStatus [권한만 해당] | SSM Agent가 현재 실행 중인 연결 상태를 업데이트할 수 있는 권한을 부여합니다(내부 Systems Manager 호출). | 쓰기 | |||
| UpdateInstanceInformation | SSM Agent가 클라우드의 Systems Manager 서비스에 하트비트 신호를 보낼 수 있는 권한을 부여합니다. | 쓰기 | |||
| UpdateMaintenanceWindow | 지정된 유지 관리 기간을 업데이트할 수 있는 권한을 부여합니다. | Write | |||
| UpdateMaintenanceWindowTarget | 지정된 유지 관리 기간 대상을 업데이트할 수 있는 권한을 부여합니다. | Write | |||
| UpdateMaintenanceWindowTask | 지정된 유지 관리 기간 작업을 업데이트할 수 있는 권한을 부여합니다. | Write | |||
| UpdateManagedInstanceRole | 지정된 관리형 인스턴스에 할당된 IAM 역할을 할당하거나 변경할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UpdateOpsItem | 편집 또는 변경 권한을 부여합니다. OpsItem | 쓰기 | |||
| UpdateOpsMetadata | OpsMetadata 객체 업데이트 권한을 부여합니다. | 쓰기 | |||
| UpdatePatchBaseline | 지정된 패치 기준을 업데이트할 수 있는 권한을 부여합니다. | Write | |||
| UpdateResourceDataSync | 리소스 데이터 동기화를 업데이트할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UpdateServiceSetting | 에 대한 서비스 설정을 업데이트할 권한을 부여합니다. AWS 계정 | 쓰기 |
AWS Systems Manager에서 정의한 리소스 유형
이 서비스에서 정의하는 리소스 유형은 다음과 같으며, IAM 권한 정책 설명의 Resource 요소에서 사용할 수 있습니다. 작업 테이블의 각 작업에서 해당 작업으로 지정할 수 있는 리소스 유형을 식별합니다. 리소스 유형은 정책에 포함할 조건 키를 정의할 수도 있습니다. 이러한 키는 리소스 유형 테이블의 마지막 열에 표시됩니다. 다음 테이블의 열에 관한 자세한 내용은 리소스 유형 테이블을 참조하세요.
참고
일부 상태 관리자 API 파라미터는 더 이상 사용되지 않습니다. 이로 인해 예기치 않은 동작이 발생할 수 있습니다. 자세한 내용은 IAM을 사용한 연결 작업을 참조하십시오.
| 리소스 유형 | ARN | 조건 키 |
|---|---|---|
| association |
arn:${Partition}:ssm:${Region}:${Account}:association/${AssociationId}
|
|
| automation-execution |
arn:${Partition}:ssm:${Region}:${Account}:automation-execution/${AutomationExecutionId}
|
|
| automation-definition |
arn:${Partition}:ssm:${Region}:${Account}:automation-definition/${AutomationDefinitionName}:${VersionId}
|
|
| bucket |
arn:${Partition}:s3:::${BucketName}
|
|
| document |
arn:${Partition}:ssm:${Region}:${Account}:document/${DocumentName}
|
|
| instance |
arn:${Partition}:ec2:${Region}:${Account}:instance/${InstanceId}
|
|
| maintenancewindow |
arn:${Partition}:ssm:${Region}:${Account}:maintenancewindow/${ResourceId}
|
|
| managed-instance |
arn:${Partition}:ssm:${Region}:${Account}:managed-instance/${InstanceId}
|
|
| managed-instance-inventory |
arn:${Partition}:ssm:${Region}:${Account}:managed-instance-inventory/${InstanceId}
|
|
| opsitem |
arn:${Partition}:ssm:${Region}:${Account}:opsitem/${ResourceId}
|
|
| opsmetadata |
arn:${Partition}:ssm:${Region}:${Account}:opsmetadata/${ResourceId}
|
|
| parameter |
arn:${Partition}:ssm:${Region}:${Account}:parameter/${ParameterNameWithoutLeadingSlash}
|
|
| patchbaseline |
arn:${Partition}:ssm:${Region}:${Account}:patchbaseline/${PatchBaselineIdResourceId}
|
|
| resourcearn |
arn:${Partition}:ssm:${Region}:${Account}:opsitemgroup/default
|
|
| session |
arn:${Partition}:ssm:${Region}:${Account}:session/${SessionId}
|
|
| resourcedatasync |
arn:${Partition}:ssm:${Region}:${Account}:resource-data-sync/${SyncName}
|
|
| servicesetting |
arn:${Partition}:ssm:${Region}:${Account}:servicesetting/${ResourceId}
|
|
| windowtarget |
arn:${Partition}:ssm:${Region}:${Account}:windowtarget/${WindowTargetId}
|
|
| windowtask |
arn:${Partition}:ssm:${Region}:${Account}:windowtask/${WindowTaskId}
|
|
| task |
arn:${Partition}:ecs:${Region}:${Account}:task/${TaskId}
|
AWS Systems Manager에 사용되는 조건 키
AWS Systems Manager는 IAM 정책의 Condition 요소에 사용할 수 있는 다음과 같은 조건 키를 정의합니다. 이러한 키를 사용하여 정책 설명이 적용되는 조건을 보다 상세하게 설정할 수 있습니다. 다음 테이블의 열에 대한 자세한 내용은 조건 키 테이블을 참조하세요.
모든 서비스에 사용할 수 있는 글로벌 조건 키를 보려면 사용 가능한 글로벌 조건 키를 참조하세요.
| 조건 키 | 설명 | 유형 |
|---|---|---|
| aws:RequestTag/${TagKey} | 지정된 태그에 허용되는 값 집합을 기준으로 ‘생성’ 요청을 기준으로 액세스를 필터링합니다. | String |
| aws:ResourceTag/${TagKey} | 리소스에 할당된 태그 키-값 쌍을 기반으로 액세스를 필터링합니다. AWS | String |
| aws:TagKeys | 필수 태그가 요청에 포함되는지 여부를 기준으로 '생성' 요청을 기준으로 액세스를 필터링합니다. | ArrayOfString |
| ec2:SourceInstanceARN | 요청이 시작된 인스턴스의 ARN을 기준으로 액세스를 필터링합니다. | ARN |
| ssm:AutoApprove | 검토 단계 없이 변경 관리자 워크플로를 시작하는 권한이 사용자에게 있는지 확인하여 액세스를 필터링합니다(변경 고정 이벤트 제외). | 부울 |
| ssm:DocumentCategories | 특정 범주 enum에 속하는 문서에 액세스할 수 있는 권한이 사용자에게 있는지 확인하여 액세스를 필터링합니다. | ArrayOfString |
| ssm:Overwrite | Systems Manager 매개변수를 덮어쓸 수 있는지를 제어하여 액세스를 필터링 | String |
| ssm:Recursive | 계층 구조에서 생성된 Systems Manager 매개변수에 따라 액세스를 필터링 | String |
| ssm:SessionDocumentAccessCheck | 사용자에게 기본 Session Manager 구성 문서 또는 요청에 지정된 사용자 지정 구성 문서에 액세스할 수 있는 권한이 있는지 확인하여 액세스를 필터링합니다. | 부울 |
| ssm:SourceInstanceARN | 요청이 이루어진 Systems Manager 관리형 인스턴스의 Amazon 리소스 이름 (ARN) 을 확인하여 액세스를 필터링합니다. AWS EC2 인스턴스 프로파일과 연결된 IAM 역할을 통해 인증된 관리형 인스턴스에서 요청이 제공되면 이 키가 표시되지 않습니다. | ARN |
| ssm:SyncType | 사용자가 요청에서 ResourceDataSync SyncType 지정한 항목에도 액세스할 수 있는지 확인하여 액세스를 필터링합니다. | String |
| ssm:resourceTag/${TagKey} | Systems Manager 리소스에 할당된 태그 키-값 페어에 따라 액세스를 필터링 | String |
| ssm:resourceTag/aws:ssmmessages:session-id | Systems Manager 세션 리소스에 할당된 태그 키-값 페어를 기준으로 액세스를 필터링합니다. | String |
| ssm:resourceTag/aws:ssmmessages:target-id | Systems Manager 세션 리소스에 할당된 태그 키-값 페어를 기준으로 액세스를 필터링합니다. | String |
| ssm:resourceTag/tag-key | Systems Manager 리소스에 할당된 태그 키-값 페어를 기준으로 액세스를 필터링합니다. | String |
