使用 Amazon SNS 通知监控 Systems Manager 状态更改

访问：https://console.aws.amazon.com/iam/，打开 IAM 控制台。

在导航窗格中选择 Policies，然后选择 Create Policy。（如果显示 Get Started (入门) 按钮，请选择此按钮，然后选择 Create Policy (创建策略)。）

选择 JSON 选项卡。

将默认内容替换为以下内容。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sns:Publish"
            ],
            "Resource": "arn:aws:sns:region:account-id:sns-topic-name"
        }
    ]
}

region 表示 Amazon Systems Manager 支持的 Amazon Web Services 区域 的标识符，例如 us-east-2 对应美国东部（俄亥俄）区域。有关支持的 region 值的列表，请参阅《Amazon Web Services 一般参考》中的 Systems Manager service endpoints 的 Region 列。

account-id 表示您的 Amazon Web Services 账户的 12 位标识符，格式为 123456789012。

sns-topic-name 表示要用于发布通知的 Amazon SNS 主题的名称。

选择下一步：标签。

（可选）添加一个或多个标签键值对，以组织、跟踪或控制此策略的访问权限。

选择 下一步: 审核。

在 Review policy (审核策略) 页面上，对于 Name (名称)，输入内联策略的名称。例如：my-sns-publish-permissions。

（可选）对于 Description (描述)，输入策略的描述。

选择 Create policy (创建策略)。

登录 Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在 IAM 控制台的导航窗格中，选择角色，然后选择创建角色。

选择 Amazon Web Services 服务 角色类型，然后选择 Systems Manager。

选择 Systems Manager 应用场景。然后选择下一步。

在 Attach permissions policies (附加权限策略) 页面上，选中您在“任务 2”中创建的自定义策略名称左侧的方框。例如：my-sns-publish-permissions。

（可选）设置权限边界。这是一项高级特征，可用于服务角色，但不可用于服务相关角色。

展开 Permissions boundary（权限边界）部分，然后选择 Use a permissions boundary to control the maximum role permissions（使用权限边界控制最大角色权限）。IAM 包括您的账户中的 Amazon 托管策略和客户托管策略的列表。选择要用于权限边界的策略，或选择创建策略以打开新的浏览器选项卡并从头开始创建新策略。有关更多信息，请参阅 IAM 用户指南 中的创建 IAM policy。在您创建策略后，关闭该选项卡并返回到您的原始选项卡，以选择要用于权限边界的策略。

选择 Next（下一步）。

如果可能，输入有助于识别该角色的作用的角色名称或角色名称后缀。角色名称在您的 Amazon Web Services 账户 内必须是唯一的。名称不区分大小写。例如，您无法同时创建名为 PRODROLE 和 prodrole 的角色。由于多个单位可能引用该角色，角色创建完毕后无法编辑角色名称。

（可选）对于 Description（描述），输入新角色的描述。

在 Step 1: Select trusted entities（步骤 1：选择可信实体）或 Step 2: Select permissions（步骤 2：选择权限）部分中的 Edit（编辑），以编辑角色的用户案例和权限。

（可选）通过以键值对的形式附加标签来向用户添加元数据。有关在 IAM 中使用标签的更多信息，请参阅 《IAM 用户指南》 中的标记 IAM 资源。

检查角色，然后选择 Create role。

选择此角色的名称，然后复制或记下 Role ARN（角色 ARN）的值。在发送配置为返回 Amazon SNS 通知的命令时，将使用此角色的 Amazon Resource Name（ARN）。

使 Summary (摘要) 页面保持打开状态。

在 IAM 导航窗格中，选择 Users (用户)，然后选择您要配置的用户账户。

在 Permissions (权限) 选项卡上的策略列表中，验证并确保其中列出了 AmazonSSMFullAccess 策略，或者存在授予账户访问 Systems Manager 权限的类似策略。

选择 Add inline policy (添加内联策略)。

在 Create policy (创建策略) 页面上，选择 Visual editor (可视化编辑器) 选项卡。

选择 Choose a service (选择服务)，然后选择 IAM。

对于 Actions（操作），在 Filter actions（筛选操作）文本框中，输入 PassRole，然后选中 PassRole 旁的复选框。

对于 Resources（资源），验证已选择 Specific（特定），然后选择 Add ARN（添加 ARN）。

在 Specify ARN for role（为角色指定 ARN）字段中，粘贴在“任务 3”结束时复制的 Amazon SNS IAM 角色 ARN。系统会自动填充 Account (账户) 和 Role name with path (具有路径的角色名称) 字段。

选择 Add (添加)。

选择查看策略。

在 Review Policy（检查策略）页面上输入一个名称，然后选择 Create Policy（创建策略）。

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

在导航窗格中，选择 Roles (角色)，然后选择在“任务 3”中创建的 Amazon SNS IAM 角色。

复制或记下 Role ARN (角色 ARN)，然后返回到 IAM 控制台的 Roles (角色) 部分。

从 Role name（角色名称）列表中选择您创建的自定义 Maintenance Windows 服务角色。

在 Permissions（权限）选项卡中，验证是否列出了 AmazonSSMMaintenanceWindowRole 策略，或者存在可向 Systems Manager API 授予维护时段权限的类似策略。如果没有，则依次选择添加权限、附加策略，以附加此策略。

选择 Add permissions, Create inline policy（添加权限、创建内联策略）。

选择 Visual editor (可视化编辑器) 选项卡。

对于 Service (服务)，请选择 IAM。

对于 Actions（操作），在 Filter actions（筛选操作）文本框中，输入 PassRole，然后选中 PassRole 旁的复选框。

对于 Resources (资源)，请选择 Specific (特定)，然后选择 Add ARN (添加 ARN)。

在 Specify ARN for role (为角色指定 ARN) 框中，粘贴在“任务 3”中创建的 Amazon SNS IAM 角色的 ARN，然后选择 Add (添加)。

选择查看策略。

在审核策略页面上，为 PassRole 策略指定名称，然后选择创建策略。