为 Change Manager 配置角色和权限

访问：https://console.aws.amazon.com/iam/，打开 IAM 控制台。

在导航窗格中选择 Policies，然后选择 Create Policy。

在 Create policy（创建策略）页面上，选择 JSON 选项卡，将默认内容替换为以下内容，您将在以下步骤中针对自己的 Change Manager 操作对其进行修改。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::delegated-admin-account-id:role/AWS-SystemsManager-job-functionAdministrationRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocument",
                "ssm:GetDocument",
                "ssm:StartChangeRequestExecution"
            ],
            "Resource": [
                "arn:aws:ssm:region:account-id:automation-definition/template-name:$DEFAULT",
                "arn:aws:ssm:region::document/template-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:ListOpsItemEvents",
                "ssm:GetOpsItem",
                "ssm:ListDocuments",
                "ssm:DescribeOpsItems"
            ],
            "Resource": "*"
        }
    ]
}

对于 iam:PassRole 操作，更新 Resource 值以包括为您的企业定义的所有工作职能的 ARN，您希望对这些工作职能授予启动运行手册工作流的权限。

将 region、account-id、template-name、delegated-admin-account-id 和 job-function 占位符替换为 Change Manager 操作的值。

对于第二个 Resource 语句，修改列表以包括要授予权限的所有更改模板。或者，指定 "Resource": "*" 为企业中的所有更改模板授予权限。

选择下一步：标签。

（可选）添加一个或多个标签键值对，以组织、跟踪或控制此策略的访问权限。

选择下一步：审核。

在 Review policy（查看策略）页面上的 Name（名称）框中输入一个名称，例如 MyChangeManagerAssumeRole，然后输入可选描述。

选择 Create policy（创建策略），然后继续转至 任务 2：为 Change Manager 创建担任角色。

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

在导航窗格中，选择角色，然后选择创建角色。

对于 Select trusted entity（选择可信实体），完成以下选择：

选择下一步。

在 Attached permissions policy（附加的权限策略）页面上，搜索您在 任务 1：为 Change Manager 创建担任角色策略 中创建的担任角色策略，比如 MyChangeManagerAssumeRole。

选中担任角色策略名称旁边的复选框，然后选择 Next: Tags（下一步：标签）。

对于Role name（角色名称），请输入新实例配置文件的名称，例如 MyChangeManagerAssumeRole。

（可选）对于 Description（描述），更新该实例角色的描述。

（可选）添加一个或多个标签键值对，以组织、跟踪或控制此角色的访问权限。

选择下一步：审核。

（可选）对于 Tags（标签），添加一个或多个标签键值对，以组织、跟踪或控制此角色的访问，然后选择 Create role（创建角色）。系统将让您返回到 角色 页面。

选择 Create role (创建角色)。系统将让您返回到 角色 页面。

在角色页面中，选择刚刚创建的角色以打开摘要页面。

通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

搜索您创建的 Change Manager 担任角色（如 MyChangeManagerAssumeRole），然后选择其名称。

在担任角色的 Summary（摘要）页面中，选择 Permissions（权限）选项卡。

选择 Add permissions, Create inline policy（添加权限、创建内联策略）。

在 Create policy (创建策略) 页面上，选择 Visual editor (可视化编辑器) 选项卡。

选择服务，然后选择 IAM。

在 Filter actions（筛选操作）文本框中，输入 PassRole，然后选择 PassRole 选项。

展开 Resources（资源）。确保已选择特定，然后选择添加 ARN。

在 Specify ARN for role（为角色指定 ARN）字段中，输入要向其传递担任角色权限的 IAM 实例配置文件角色或 IAM 服务角色的 ARN。系统会自动填充账户和具有路径的角色名称字段。

选择 Add (添加)。

选择查看策略。

对于 Name（名称），输入一个名称来标识此策略，然后选择 Create policy（创建策略）。

登录 Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

在列表中，选择要更新的担任角色的名称，例如 MyChangeManagerAssumeRole。

选择 Permissions（权限）选项卡。

选择 Add permissions, Create inline policy（添加权限、创建内联策略）。

选择 JSON 选项卡。

输入您希望调用的 Amazon Web Services 服务的 JSON 策略文档。以下是两个示例 JSON 策略文档。

Simple Storage Service (Amazon S3) PutObject 和 GetObject 示例

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}
        

Amazon EC2 CreateSnapshot 和 DescribeSnapShots 示例

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ec2:CreateSnapshot",
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":"ec2:DescribeSnapshots",
         "Resource":"*"
      }
   ]
}

有关 IAM policy 语言的详细信息，请参阅《IAM 用户指南》中的 IAM JSON 策略参考。

完成后，选择查看策略。策略验证程序将报告任何语法错误。

对于 Name（名称），输入一个名称来标识您创建的策略。查看策略摘要以查看您的策略授予的权限。然后，选择创建策略以保存您的工作。

创建内联策略后，它会自动嵌入您的角色。