AWS Systems Manager e AWS Organizations

AWS Systems Manager é um conjunto de recursos que permitem a visibilidade e o controle de seus AWS recursos. Os seguintes recursos do Systems Manager funcionam com o Organizations em todas as Contas da AWS em sua organização:

• O Systems Manager Explorer é um painel de operações personalizável que relata informações sobre seus AWS recursos. Você pode sincronizar os dados de operações Contas da AWS em toda a sua organização usando o Organizations and Systems Manager Explorer. Para obter mais informações, consulte Systems Manager Explorer no Guia do usuário do AWS Systems Manager .

• O Change Manager do Systems Manager é um framework de gerenciamento de alterações corporativas para solicitar, aprovar, implementar e emitir relatórios sobre alterações operacionais na configuração e na infraestrutura de suas aplicações. Para obter mais informações, consulte Change Manager do AWS Systems Manager no Guia do usuário do AWS Systems Manager .

• O Systems Manager OpsCenter fornece um local central onde engenheiros de operações e profissionais de TI podem visualizar, investigar e resolver itens de trabalho operacionais (OpsItems) relacionados aos AWS recursos. Quando você usa OpsCenter com o Organizations, ele suporta trabalhar com uma conta OpsItems de gerenciamento (uma conta de gerenciamento do Organizations ou uma conta de administrador delegado do Systems Manager) e outra conta durante uma única sessão. Após configurados, os usuários podem realizar os seguintes tipos de ações:

  • Crie, visualize e atualize OpsItems em outra conta.

  • Visualize informações detalhadas sobre AWS os recursos especificados OpsItems em outra conta.

  • Inicie os runbooks do Systems Manager Automation para corrigir problemas com AWS recursos em outra conta.

  Para obter mais informações, consulte AWS Systems Manager OpsCentero Guia AWS Systems Manager do usuário.

Use as informações a seguir para ajudá-lo a se integrar AWS Systems Manager com AWS Organizations.

Funções vinculadas ao serviço, criadas quando você habilitou a integração

A função vinculada ao serviço a seguir é criada automaticamente na conta de gerenciamento de sua organização quando você habilita o acesso confiável. Essa função permite que o Systems Manager realize as operações suportadas nas contas de sua organização.

Você só pode excluir ou modificar essa função se desabilitar o acesso confiável entre o Systems Manager e o Organizations, ou se remover a conta-membro da organização.

• AWSServiceRoleForAmazonSSM_AccountDiscovery

Entidades de serviço primárias usadas pelas funções vinculadas ao serviço

A função vinculada ao serviço na seção anterior pode ser assumida apenas pelas entidades de serviço primárias autorizadas pelas relações de confiança definidas para a função. As funções vinculadas ao serviço usadas pelo Systems Manager concedem acesso às seguintes entidades de serviço primárias:

• ssm.amazonaws.com

Habilitar o acesso confiável no Systems Manager

Para obter informações sobre as permissões necessárias para habilitar acesso confiável, consulte Permissões necessárias para habilitar o acesso confiável.

Você pode habilitar o acesso confiável usando apenas as ferramentas do Organizations.

Você pode ativar o acesso confiável usando o AWS Organizations console, executando um AWS CLI comando ou chamando uma operação de API em um dos AWS SDKs.

AWS Management Console

Para habilitar o acesso ao serviço confiável usando o console do Organizations

1. Faça login no console do AWS Organizations. Você deve fazer login como um usuário do IAM, assumir uma função do IAM ou fazer login como usuário-raiz (não recomendado) na conta de gerenciamento da organização.

2. No painel de navegação, escolha Serviços.

3. Escolha AWS Systems Managerna lista de serviços.

4. Escolha Enable trusted access (Habilitar acesso confiável).

5. Na caixa de AWS Systems Manager diálogo Habilitar acesso confiável para, digite habilitar para confirmá-lo e escolha Habilitar acesso confiável.

6. Se você for administrador de somente AWS Organizations, informe ao administrador AWS Systems Manager que agora ele pode habilitar esse serviço usando o console para trabalhar com ele AWS Organizations.

AWS CLI, AWS API

Para habilitar o acesso ao serviço confiável usando a CLI/SDK do Organizations

Você pode usar os seguintes AWS CLI comandos ou operações de API para habilitar o acesso confiável ao serviço:

• AWS CLI: enable-aws-service-access

  Você pode executar o comando a seguir para habilitá-lo AWS Systems Manager como um serviço confiável com Organizations.

  $ aws organizations enable-aws-service-access \ 
      --service-principal ssm.amazonaws.com

  Esse comando não gera nenhuma saída quando é bem-sucedido.

• AWS API: Ativar AWSServiceAccess

Desabilitar o acesso confiável no Systems Manager

Para obter informações sobre as permissões necessárias para desabilitar acesso confiável, consulte Permissões necessárias para desabilitar o acesso confiável.

O Systems Manager requer acesso confiável AWS Organizations para sincronizar os dados operacionais Contas da AWS em toda a sua organização. Se você desativar o acesso confiável, o Systems Manager não sincroniza os dados das operações e reporta um erro.

Você pode desabilitar o acesso confiável usando apenas as ferramentas do Organizations.

Você pode desativar o acesso confiável usando o AWS Organizations console, executando um AWS CLI comando do Organizations ou chamando uma operação da API Organizations em um dos AWS SDKs.

AWS Management Console

Para desabilitar o acesso confiável usando o console do Organizations

1. Faça login no console do AWS Organizations. Você deve fazer login como um usuário do IAM, assumir uma função do IAM ou fazer login como usuário-raiz (não recomendado) na conta de gerenciamento da organização.

2. No painel de navegação, escolha Serviços.

3. Escolha AWS Systems Managerna lista de serviços.

4. Escolha Disable trusted access (Desabilitar acesso confiável).

5. Na caixa de AWS Systems Manager diálogo Desabilitar acesso confiável para, digite desabilitar para confirmá-lo e escolha Desabilitar acesso confiável.

6. Se você for administrador do Only AWS Organizations, informe ao administrador AWS Systems Manager que agora ele pode desativar esse serviço usando o console ou as ferramentas para não trabalhar com ele AWS Organizations.

AWS CLI, AWS API

Para desabilitar o acesso confiável usando a CLI/SKD do Organizations

Você pode usar os seguintes AWS CLI comandos ou operações de API para desativar o acesso confiável a serviços:

• AWS CLI: disable-aws-service-access

  Você pode executar o comando a seguir para desabilitar AWS Systems Manager como um serviço confiável com Organizations.

  $ aws organizations disable-aws-service-access \
      --service-principal ssm.amazonaws.com

  Esse comando não gera nenhuma saída quando é bem-sucedido.

• AWS API: Desativar AWSServiceAccess

Habilitar uma conta de administrador delegado para o Systems Manager

Quando você designa uma conta-membro como administrador delegado para a organização, os usuários e funções dessa conta podem executar ações administrativas para o Systems Manager que, de outra forma, só podem ser executadas por usuários ou funções na conta de gerenciamento da organização. Isso ajuda você a separar o gerenciamento da organização do gerenciamento do Systems Manager.

Se você usa o Change Manager em uma organização, você usa uma conta de administrador delegado. Essa é a Conta da AWS que foi designada como a conta para gerenciar modelos de alteração, solicitações de alteração, registros de alterações e fluxos de trabalho de aprovação no Change Manager. A conta delegada gerencia as atividades de alteração em toda a organização. Quando você configura sua organização para uso com o Change Manager, você especifica qual das suas contas desempenhará essa função. Não precisa ser conta de gerenciamento da organização. Não é necessário ter a conta de administrador delegado se você usar o Change Manager com apenas uma conta.

Para designar uma conta-membro como administrador delegado, consulte os seguintes tópicos no Guia do usuário do AWS Systems Manager :

• Para Explorer e OpsCenter, consulte Configurando um administrador delegado.

• Para o Change Manager, consulte Setting up an organization and delegated account for Change Manager (Configurar uma organização e uma conta delegada para o Change Manager).