使用 Amazon SNS 通知监控 Systems Manager 状态更改

为 Amazon SNS 通知创建自定义 IAM policy

1. 访问：https://console.aws.amazon.com/iam/，打开 IAM 控制台。

2. 在导航窗格中选择 Policies，然后选择 Create Policy。（如果显示 Get Started (入门) 按钮，请选择此按钮，然后选择 Create Policy (创建策略)。）

3. 选择 JSON 选项卡。

4. 将默认内容替换为以下内容。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "sns:Publish"
               ],
               "Resource": "arn:aws:sns:region:account-id:sns-topic-name"
           }
       ]
   }

   region 表示 Amazon Systems Manager 支持的 Amazon Web Services 区域 的标识符，例如 us-east-2 对应美国东部（俄亥俄）区域。有关受支持的 region 值的列表，请参阅 Amazon Web Services 一般参考中的 Systems Manager 服务终端节点中的 Region（区域）列。

   account-id 表示您的 Amazon Web Services 账户的 12 位标识符，格式为 123456789012。

   sns-topic-name 表示要用于发布通知的 Amazon SNS 主题的名称。

5. 请选择下一步：标签。

6. （可选）添加一个或多个标签键值对，以组织、跟踪或控制此策略的访问权限。

7. 选择 Next: Review（下一步: 审核）。

8. 在 Review policy (审核策略) 页面上，对于 Name (名称)，输入内联策略的名称。例如：my-sns-publish-permissions。

9. （可选）对于 Description (描述)，输入策略的描述。

10. 选择 Create policy (创建策略)。

为 Amazon SNS 通知创建 IAM 服务角色

1. 访问 https://console.aws.amazon.com/iam/，打开 IAM 控制台。

2. 在导航窗格中，选择 Roles (角色)，然后选择 Create role (创建角色)。

3. 在 Select type of trusted entity (选择受信任实体的类型) 下，选择 Amazon service (Amazon Web Services 服务)。

4. 在 Choose a use case (选择使用案例) 部分中，选择 Systems Manager。

5. 在 Select your use case (选择您的使用案例) 部分中，选择 Systems Manager，然后选择 Next: Permissions (下一步：权限)。

6. 在 Attach permissions policies (附加权限策略) 页面上，选中您在“任务 2”中创建的自定义策略名称左侧的方框。例如：my-sns-publish-permissions。

7. 选择 下一步：标签。

8. （可选）添加一个或多个标签键值对，以组织、跟踪或控制此角色的访问权限。

9. 选择 Next: Review（下一步: 审核）。

10. 在 Review（检查）页面中，对于 Role name（角色名称），输入一个用来标识该角色的名称，例如 my-sns-role。

11. （可选）更改默认角色描述，以反映此角色的用途。例如：Runs SNS topics on your behalf.。

12. 选择 Create role (创建角色)。系统将让您返回到 Roles (角色) 页面。

13. 选择此角色的名称，然后复制或记下 Role ARN（角色 ARN）的值。在发送配置为返回 Amazon SNS 通知的命令时，将使用此角色的 Amazon Resource Name（ARN）。

14. 使 Summary (摘要) 页面保持打开状态。

配置用户访问权限并将 iam:PassRole 策略附加到用户账户

1. 在 IAM 导航窗格中，选择 Users (用户)，然后选择您要配置的用户账户。

2. 在 Permissions (权限) 选项卡上的策略列表中，验证并确保其中列出了 AmazonSSMFullAccess 策略，或者存在授予账户访问 Systems Manager 权限的类似策略。

3. 选择 Add inline policy (添加内联策略)。

4. 在 Create policy (创建策略) 页面上，选择 Visual editor (可视化编辑器) 选项卡。

5. 选择 Choose a service (选择服务)，然后选择 IAM。

6. 对于 Actions（操作），在 Filter actions（筛选操作）文本框中，输入 PassRole，然后选中 PassRole 旁的复选框。

7. 对于 Resources（资源），验证已选择 Specific（特定），然后选择 Add ARN（添加 ARN）。

8. 在 Specify ARN for role（为角色指定 ARN）字段中，粘贴在“任务 3”结束时复制的 Amazon SNS IAM 角色 ARN。系统会自动填充 Account (账户) 和 Role name with path (具有路径的角色名称) 字段。

9. 选择 Add (添加)。

10. 选择Review policy（查看策略）。

11. 在 Review Policy（检查策略）页面上输入一个名称，然后选择 Create Policy（创建策略）。

将 iam:PassRole 策略附加到 Maintenance Windows 角色

1. 通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在导航窗格中，选择 Roles (角色)，然后选择在“任务 3”中创建的 Amazon SNS IAM 角色。

3. 复制或记下 Role ARN (角色 ARN)，然后返回到 IAM 控制台的 Roles (角色) 部分。

4. 从 Role name（角色名称）列表中选择您创建的自定义 Maintenance Windows 服务角色。

5. 在 Permissions（权限）选项卡中，验证是否列出了 AmazonSSMMaintenanceWindowRole 策略，或者存在可向 Systems Manager API 授予维护时段权限的类似策略。如果没有，则选择 Attach policies（附加策略）以附加此策略。

6. 选择 Add inline policy（添加内联策略）。

7. 选择 Visual editor (可视化编辑器) 选项卡。

8. 对于 Service (服务)，请选择 IAM。

9. 对于 Actions（操作），在 Filter actions（筛选操作）文本框中，输入 PassRole，然后选中 PassRole 旁的复选框。

10. 对于 Resources (资源)，请选择 Specific (特定)，然后选择 Add ARN (添加 ARN)。

11. 在 Specify ARN for role (为角色指定 ARN) 框中，粘贴在“任务 3”中创建的 Amazon SNS IAM 角色的 ARN，然后选择 Add (添加)。

12. 选择Review policy（查看策略）。

13. 在 Review Policy (审核策略) 页面上，为 PassRole 策略指定名称，然后选择 Create policy (创建策略)。