为组织设置 Change Manager（管理账户）

在 Organizations 管理账户中为 Change Manager 设置组织

1. 打开 Amazon Systems Manager 控制台，网址为 https://console.aws.amazon.com/systems-manager/。

2. 在导航窗格中，选择 Quick Setup。

   -或者-

   如果首先打开 Amazon Systems Manager 主页，请选择菜单图标 ( ) 以打开导航窗格，然后在导航窗格Quick Setup中进行选择。

3. 在 Change Manager 选项卡上，选择 Create（创建）。

4. 对于 Delegated administrator account (委托管理员账户)，输入要用于在 Change Manager 中管理更改模板、更改请求和运行手册工作流的 Amazon Web Services 账户 的 ID。

   如果您之前已为 Systems Manager 指定了委托管理员账户，则此字段中已报告其 ID。

   重要

   委托管理员账户必须是其在 Organizations 中分配到的组织单位 (OU) 的唯一成员。

   如果您注册的委托管理员账户后来从该角色注销，则系统会同时删除其管理 Systems Manager 操作的权限。请注意，您必须返回 Quick Setup，指定不同的委托管理员账户，然后再次指定所有工作职能和权限。

   如果您在整个组织中使用 Change Manager，我们建议始终从委托管理员账户进行更改。虽然您可以从组织中的其他账户进行更改，但这些更改不会在委派管理员账户中报告，也无法从该账户查看。

5. 在 Permissions to request and make changes (请求和进行更改的权限) 部分中，执行以下操作。

   注意

   您创建的每一项部署配置仅会为一项工作功能提供权限策略。您可以在以后返回到 Quick Setup，在创建要在操作中使用的更改模板时创建更多工作职能。

   创建管理角色 – 对于拥有所有 Amazon 操作的 IAM 权限的管理员工作职能，请执行以下操作。

   重要

   授予用户完整管理权限应该谨慎行事，并且仅当用户的角色需要完整的 Systems Manager 访问权限时才能执行。有关 Systems Manager 访问权限的安全注意事项的重要信息，请参阅 适用于 Amazon Systems Manager 的身份和访问管理 和 Systems Manager 的安全最佳实践。

   1. 对于 Job function (工作职能)，请输入用于标识此角色及其权限的名称，例如 MyAmazonAdmin。

   2. 对于 Role and permissions option (角色和权限选项)，请选择 Administrator permissions (管理员权限)。

   创建其他工作职能 – 要创建非管理角色，请执行以下操作：

   1. 对于 Job function (工作职能)，输入用于标识此角色的名称，并建议其权限。您选择的名称应能表示您将为其提供权限的运行手册的范围，例如 DBAdmin 或 S3Admin。

   2. 对于 Role and permissions option (角色和权限选项)，请选择 Custom permissions (自定义权限)。

   3. 在 Permissions policy editor (权限策略编辑器) 中，以 JSON 格式输入 IAM 权限，以向此工作职能授予这些权限。

   提示

   我们建议您使用 IAM policy 编辑器构建策略，然后将策略 JSON 粘贴到 Permissions policy（权限策略）字段中。

   示例策略：DynamoDB 数据库管理

   例如，您可以从策略内容开始，该内容为使用工作职能需要访问的 Systems Manager 文档（SSM 文档）提供权限。以下是策略内容示例，它允许访问与 DynamoDB 数据库相关的所有 Amazon 托管自动化运行手册以及在 Amazon Web Services 账户 123456789012示例中创建的两个变更模板，位于美国东部（俄亥俄州）区域 ()。us-east-2

   该策略还包括对 StartChangeRequestExecution 操作的权限，在 Change Calendar 中创建更改请求时需要该权限。

   注意

   此示例并不全面。使用其他 Amazon 资源（例如数据库和节点）可能需要额外的权限。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:CreateDocument",
                   "ssm:DescribeDocument",
                   "ssm:DescribeDocumentParameters",
                   "ssm:DescribeDocumentPermission",
                   "ssm:GetDocument",
                   "ssm:ListDocumentVersions",
                   "ssm:ModifyDocumentPermission",
                   "ssm:UpdateDocument",
                   "ssm:UpdateDocumentDefaultVersion"
               ],
               "Resource": [
                   "arn:aws:ssm:region:*:document/AWS-CreateDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-AWS-DeleteDynamoDbBackup",
                   "arn:aws:ssm:region:*:document/AWS-DeleteDynamoDbTableBackups",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-DeleteDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnableEncryptionOnDynamoDbTable",
                   "arn:aws:ssm:region:*:document/AWSConfigRemediation-EnablePITRForDynamoDbTable",
                   "arn:aws:ssm:region:123456789012:document/MyFirstDBChangeTemplate",
                   "arn:aws:ssm:region:123456789012:document/MySecondDBChangeTemplate"
               ]
           },
           {
               "Effect": "Allow",
               "Action": "ssm:ListDocuments",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "ssm:StartChangeRequestExecution",
               "Resource": "arn:aws:ssm:region:123456789012:automation-definition/*:*"
           }
       ]
   }

   有关 IAM policy 的更多信息，请参阅《IAM 用户指南》中的 Amazon 资源的访问权限管理和创建 IAM policy。

6. 在 Targets (目标) 部分中，请选择是将对您创建的工作职能的权限授予整个组织，还是仅授予部分组织单位。

   如果选择 Entire organization (整个组织)，请继续执行步骤 9。

   如果选择 Custom (自定义)，则请继续执行步骤 8。

7. 在 Target OUs (目标 OU) 部分中，选中要使用 Change Manager 的组织单位的复选框。

8. 选择 Create（创建）。