AWS Systems Manager
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

AWS Systems Manager 的身份验证和访问控制

访问 AWS Systems Manager 需要凭证。这些凭证必须有权访问 AWS 资源,才能执行像创建或更新文档以及向Maintenance Windows注册任务和目标这样的任务。以下部分详细说明如何使用 AWS Identity and Access Management (IAM) 和 Systems Manager 帮助保护对您的资源的访问:

有关配置 AWS Systems Manager 访问权限的更多信息,请参阅配置对 Systems Manager 的访问权限

有关资源为执行 Systems Manager 操作而可能需要访问的 Amazon Simple Storage Service (Amazon S3) 存储桶的信息,请参阅 SSM 代理的最低 S3 存储桶权限


您可以以下面任一类型的身份访问 AWS:

  • AWS 账户根用户 – 注册 AWS 时,您需要提供与您的 AWS 账户关联的电子邮件地址和密码。这些是您的根凭证,它们提供对您所有 AWS 资源的完全访问权限。


    出于安全考虑,我们建议您仅使用根凭证创建管理员用户,此类用户是对您的 AWS 账户具有完全访问权限的 IAM 用户。然后,您可以使用该管理员用户创建具有有限权限的其他 IAM 用户和角色。有关更多信息,请参阅 IAM User Guide 中的创建单独的 IAM 用户创建您的第一个 IAM 管理员用户和组

  • IAM 用户IAM 用户 是您的 AWS 账户中的一种身份,它具有特定的自定义权限(例如,用于在 Systems Manager 中向目标发送事件数据的权限)。您可以使用 IAM 用户名和密码登录以保护 AWS 网页(如 AWS Management ConsoleAWS 开发论坛AWS Support Center


    除了用户名和密码之外,您还可以为每个用户生成访问密钥。在通过几个开发工具包之一或使用 AWS Command Line Interface (AWS CLI) 以编程方式访问 AWS 服务时,用户可以使用这些密钥。SDK 和 CLI 工具使用访问密钥对您的请求进行加密签名。如果您不使用 AWS 工具,则必须自行对请求签名。Systems Manager supports 签名版本 4,一种用于对入站 API 请求进行身份验证的协议。有关验证请求的更多信息,请参阅 AWS General Reference 中的签名版本 4 签名流程


  • IAM 角色 – 具有临时凭证的 An IAM role is an IAM identity that you can create in your account that has specific permissions. It is similar to an IAM user, but it is not associated with a specific person. An IAM role enables you to obtain temporary access keys that can be used to access AWS services and resources. IAM 角色在以下情况下很有用:


    • 联合身份用户访问 – Instead of creating an IAM user, you can use existing user identities from AWS Directory Service, your enterprise user directory, or a web identity provider. These are known as federated users. AWS assigns a role to a federated user when access is requested through an identity provider. For more information about federated users, see Federated Users and Roles in the IAM User Guide.


    • 跨账户访问 – You can use an IAM role in your account to grant another AWS account permissions to access your account’s resources. For an example, see Tutorial: Delegate Access Across AWS Accounts Using IAM Roles in the IAM User Guide.


    • AWS 服务访问 – 可以使用您账户中的 IAM 角色向 AWS 服务授予对您账户的资源的访问权限。例如,您可以创建一个角色,此角色允许 Amazon Redshift 代表您访问 Amazon S3 存储桶,然后将存储在该存储桶中的数据加载到 Amazon Redshift 集群中。有关更多信息,请参阅 IAM User Guide 中的创建角色以向 AWS 服务委派权限


    • 在 Amazon EC2 上运行的应用程序 – You can use an IAM role to manage temporary credentials for applications that are running on an EC2 instance and making AWS API requests. This is preferable to storing access keys within the EC2 instance. To assign an AWS role to an EC2 instance and make it available to all of its applications, you create an instance profile that is attached to the instance. An instance profile contains the role and enables programs that are running on the EC2 instance to get temporary credentials. For more information, see Using an IAM Role to Grant Permissions to Applications Running on Amazon EC2 Instances in the IAM User Guide.


您可以使用有效的凭证来对自己的请求进行身份验证,但您还必须拥有权限才能创建或访问 Systems Manager 资源。例如,您必须有权创建、查看或删除激活、关联、文档,Maintenance Windows 才能注册或取消注册实例和补丁基准等。

下面几节介绍如何管理 Systems Manager 的权限。我们建议您先阅读概述。