AWSSupport-TerminateIPMonitoringFromVPC

Descrição

O AWSSupport-TerminateIPMonitoringFromVPC encerra um teste de monitoramento de IP iniciado anteriormente pelo AWSSupport-SetupIPMonitoringFromVPC. Dados relacionados ao ID de teste especificado serão excluídos.

Executar esta automação (console)

Tipo de documento

Automação

Proprietário

Amazon

Plataformas

Linux, macOS, Windows

Parâmetros

• AutomationAssumeRole

  Tipo: string

  Descrição: (Opcional) O Amazon Resource Name (ARN) da função AWS Identity and Access Management (IAM) que permite que o Systems Manager Automation execute as ações em seu nome. Se nenhum perfil for especificado, o Systems Manager Automation usa as permissões do usuário que inicia este runbook.

• AutomationExecutionId

  Tipo: string

  Descrição: (obrigatório) O ID de execução da automação de quando o runbook AWSSupport-SetupIPMonitoringFromVPC foi executado anteriormente. Todos os recursos associados a essa ID de execução são excluídos.

• InstanceId

  Tipo: string

  Descrição: (Obrigatório) O ID de instância para a instância do monitor.

• SubnetId

  Tipo: string

  Descrição: (Obrigatório) O ID de sub-rede para a instância do monitor.

IAMPermissões necessárias

O parâmetro AutomationAssumeRole requer as seguintes ações para usar o runbook com êxito.

É recomendável que o usuário que executa a automação tenha a política IAMgerenciada A mazonSSMAutomation Role anexada. Além disso, o usuário deve ter a política a seguir anexada ao seu usuário, grupo ou função:

{
"Version": "2012-10-17",
"Statement": [
    {
        "Action": [
            "iam:DetachRolePolicy",
            "iam:RemoveRoleFromInstanceProfile",
            "iam:DeleteRole",
            "iam:DeleteInstanceProfile",
            "iam:DeleteRolePolicy"
        ],
        "Resource": [
            "arn:aws:iam::An-AWS-Account-ID:role/AWSSupport/SetupIPMonitoringFromVPC_*",
            "arn:aws:iam::An-AWS-Account-ID:instance-profile/AWSSupport/SetupIPMonitoringFromVPC_*"
        ],
        "Effect": "Allow"
    },
    {
        "Action": [
            "iam:DetachRolePolicy"
        ],
        "Resource": [
            "arn:aws:iam::aws:policy/service-role/AmazonSSMManagedInstanceCore"
        ],
        "Effect": "Allow"
    },
    {
        "Action": [
            "cloudwatch:DeleteDashboards"
        ],
        "Resource": [
            "*"
        ],
        "Effect": "Allow"
    },
    {
        "Action": [
            "ec2:DescribeTags",
            "ec2:DescribeInstances",
            "ec2:DescribeSecurityGroups",
            "ec2:DeleteSecurityGroup",
            "ec2:TerminateInstances",
            "ec2:DescribeInstanceStatus"
        ],
        "Resource": [
            "*"
        ],
        "Effect": "Allow"
    ]
}

Etapas do documento

1. aws:assertAwsResourceProperty- InstanceId verificam AutomationExecutionId e estão relacionados ao mesmo teste.

2. aws:assertAwsResourceProperty- InstanceId verificam SubnetId e estão relacionados ao mesmo teste.

3. aws:executeAwsApi :recupere o grupo de segurança do teste.

4. aws:executeAwsApi- exclua o CloudWatch painel.

5. aws:changeInstanceState :encerre a instância de teste.

6. aws:executeAwsApi- remova o perfil da IAM instância da função.

7. aws:executeAwsApi- exclua o perfil da IAM instância criado pela automação.

8. aws:executeAwsApi- exclua a política CloudWatch embutida da função criada pela automação.

9. aws:executeAwsApi- separe a política mazonSSMManaged InstanceCore gerenciada A da função criada pela automação.

10. aws:executeAwsApi- exclua a IAM função criada pela automação.

11. aws:executeAwsApi: excluir o grupo de segurança criado pela automação, se existir.

Saídas

Nenhum