Políticas de registro de instância

Importante

O AWS OpsWorks Stacks serviço chegou ao fim da vida útil em 26 de maio de 2024 e foi desativado para clientes novos e existentes. É altamente recomendável que os clientes migrem suas cargas de trabalho para outras soluções o mais rápido possível. Se você tiver dúvidas sobre migração, entre em contato com a AWS Support equipe no AWS re:POST ou por meio do Premium AWS Support.

As políticas AWSOpsWorksRegisterCLI_OnPremises e AWSOpsWorksRegisterCLI_EC2 fornecem as permissões corretas para registrar instâncias on-premises e do EC2, respectivamente. Adicione AWSOpsWorksRegisterCLI_EC2 ao seu usuário do IAM para registrar instâncias do EC2, mas adicione AWSOpsWorksRegisterCLI_OnPremises ao seu usuário para registrar instâncias on-premises. Para usar essas políticas, você deve estar executando pelo menos a versão 1.16.180 do AWS CLI ou mais recente.

A política AWSOpsWorksRegisterCLI_EC2

Adicione AWSOpsWorksRegisterCLI_EC2 ao seu usuário para registrar instâncias do EC2. Você deve usar esse perfil se planeja registrar somente instâncias do EC2. Quando você usa essa política, as permissões são fornecidas pelo perfil da instância do EC2.

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "opsworks:AssignInstance",
            "opsworks:CreateLayer",
            "opsworks:DeregisterInstance",
            "opsworks:DescribeInstances",
            "opsworks:DescribeStackProvisioningParameters",
            "opsworks:DescribeStacks",
            "opsworks:UnassignInstance"
          ],
          "Resource": [
            "*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "ec2:DescribeInstances"
          ],
          "Resource": [
            "*"
          ]
        }
      ]
    }

A política AWSOpsWorksRegisterCLI_OnPremises

Adicione AWSOpsWorksRegisterCLI_OnPremises ao seu usuário para registrar instâncias on-premises. Essa política inclui permissões do IAM, como AttachUserPolicy, mas os recursos nos quais as permissões funcionam são restritos.

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "opsworks:AssignInstance",
            "opsworks:CreateLayer",
            "opsworks:DeregisterInstance",
            "opsworks:DescribeInstances",
            "opsworks:DescribeStackProvisioningParameters",
            "opsworks:DescribeStacks",
            "opsworks:UnassignInstance"
          ],
          "Resource": [
            "*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "ec2:DescribeInstances"
          ],
          "Resource": [
            "*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "iam:CreateGroup",
            "iam:AddUserToGroup"
          ],
          "Resource": [
            "arn:aws:iam::*:group/AWS/OpsWorks/OpsWorks-*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "iam:CreateUser",
            "iam:CreateAccessKey"
          ],
          "Resource": [
            "arn:aws:iam::*:user/AWS/OpsWorks/OpsWorks-*"
          ]
        },
        {
          "Effect": "Allow",
          "Action": [
            "iam:AttachUserPolicy"
          ],
          "Resource": [
            "arn:aws:iam::*:user/AWS/OpsWorks/OpsWorks-*"
          ],
          "Condition": {
            "ArnEquals": 
              {
                "iam:PolicyARN": "arn:aws:iam::aws:policy/AWSOpsWorksInstanceRegistration"
              }
            }
        }
      ]
    }

(Obsoleta) A política AWSOpsWorksRegisterCLI

Importante

A política AWSOpsWorksRegisterCLI foi descontinuada e não pode ser usada para registrar novas instâncias. Ela está disponível somente para compatibilidade com versões anteriores em instâncias que já foram registradas. A política AWSOpsWorksRegisterCLI inclui várias permissões do IAM, incluindo CreateUser, PutUserPolicy e AddUserToGroup. Como essas são permissões no nível do administrador, você só deve atribuir a política AWSOpsWorksRegisterCLI aos usuários administrativos confiáveis.