AWS Systems Manager
用户指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

关于 SSM 代理 的最低 S3 存储桶权限

本主题提供有关 SSM 代理 为执行 Systems Manager 操作而可能需要访问的 Amazon Simple Storage Service (Amazon S3) 存储桶的信息。可以公开访问这些存储桶,但在某些情况下,您可能需要在 Systems Manager 的 EC2 实例配置文件中提供显式权限,或者在混合环境中的实例的服务角色中提供。通常,如果在 Systems Manager 操作中使用私有 VPC 终端节点,您必须授予这些权限。否则,资源无法访问这些公有存储桶。

要授予这些存储桶的访问权限,您需要创建一个自定义 S3 权限策略,然后将其附加到您的实例配置文件(对于 EC2 实例)或服务角色(对于混合环境中的本地服务器和虚拟机 (VM))。

注意

这些权限仅提供对 SSM 代理所需的 AWS 托管存储桶的访问。它们不提供其他 Amazon S3 操作所需的权限。它们也不提供您自己的 S3 存储桶的权限。

有关更多信息,请参阅以下主题:

必需的权限

下表描述了使用 Systems Manager 所需的每个 Amazon S3 策略权限。

SSM 代理所需的 Amazon S3 权限

权限 描述
arn:aws:s3:::aws-ssm-region/*

提供对 Amazon S3 存储桶的访问权限,该存储桶包含与 SSM 文档结合使用所需的模块。

arn:aws:s3:::aws-windows-downloads-region/*

一些支持 Windows 操作系统的 SSM 文档所必需的。

arn:aws:s3:::amazon-ssm-region/* 更新 SSM 代理安装所必需的。这些存储桶包含 SSM 代理安装软件包,以及 AWS-UpdateSSMAgent 文档和插件引用的安装清单。
arn:aws:s3:::amazon-ssm-packages-region/*

使用 2.2.45.0 之前的版本的 SSM 代理运行文档 AWS-ConfigureAWSPackage 所必需的。

arn:aws:s3:::region-birdwatcher-prod/*

提供对由版本 2.2.45.0 或更高版本的 SSM 代理使用的分发服务的访问权限。此服务用于运行文档 AWS-ConfigureAWSPackage

arn:aws:s3:::patch-baseline-snapshot-region/*

提供对包含补丁基准快照的 Amazon S3 存储桶的访问权限。如果您使用 AWS-RunPatchBaselineAWS-ApplyPatchBaseline 文档,这是必需的。

region 表示 AWS Systems Manager 支持的 AWS 区域的区域标识符,如US East (Ohio) Region的 us-east-2。有关受支持 region 值的列表,请参阅 AWS General ReferenceAWS Systems Manager 区域和终端节点表区域列。

示例

以下示例说明如何提供对US East (Ohio) Region (us-east-2) 中的 Systems Manager 操作所需的 Amazon S3 存储桶的访问权限。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": "*", "Action": "s3:GetObject", "Resource": [ "arn:aws:s3:::aws-ssm-us-east-2/*", "arn:aws:s3:::aws-windows-downloads-us-east-2/*", "arn:aws:s3:::amazon-ssm-us-east-2/*", "arn:aws:s3:::amazon-ssm-packages-us-east-2/*", "arn:aws:s3:::us-east-2-birdwatcher-prod/*", "arn:aws:s3:::patch-baseline-snapshot-us-east-2/*" ] } ] }

重要

我们建议您避免在该策略中使用通配符 (*) 以替代特定区域。例如,使用 arn:aws:s3:::aws-ssm-us-east-2/* 而不使用 arn:aws:s3:::aws-ssm-*/*。使用通配符可能会提供对您不打算授予访问权限的 Amazon S3 存储桶的访问。如果要将实例配置文件用于多个区域,我们建议每个区域重复使用第一个 Statement 块。

本页内容: