步骤 1：为混合和多云环境创建 IAM 服务角色

安装并配置 Amazon Command Line Interface (Amazon CLI)（如果尚未执行该操作）。

有关信息，请参阅安装或更新 Amazon CLI 的最新版本。

在本地计算机上使用以下信任策略创建一个文本文件，文件名称类似于 SSMService-Trust.json。确保使用 .json 文件扩展名保存该文件。请务必指定您在其中创建混合激活的 ARN 中的 Amazon Web Services 账户 和 Amazon Web Services 区域。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"123456789012"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:us-east-2:123456789012:*"
            }
         }
      }
   ]
}

打开 Amazon CLI，在创建该 JSON 文件的目录下，运行 create-role 命令以创建服务角色。该示例创建一个名为 SSMServiceRole 的角色。如果愿意，您也可以选择其他名称。

按如下方式运行attach-role-policy命令，以允许您刚刚创建的服务角色创建会话令牌。此会话令牌向托管节点授予使用 Systems Manager 运行命令的权限。

（必需）运行以下命令以允许托管节点使用 Amazon Systems Manager 服务核心功能。

如果为服务角色创建了自定义 S3 存储桶策略，请运行以下命令，以允许 Amazon Systems Manager Agent (SSM Agent) 访问在该策略中指定的存储桶。将账户 ID 和my-bucket-policy-name替换为您的 Amazon Web Services 账户 ID 和存储桶名称。

（可选）运行以下命令以允许 SSM Agent 代表您访问 Amazon Directory Service，以处理托管节点加入域的请求。只有在将节点加入 Microsoft AD 目录时，服务角色才需要使用此策略。

（可选）运行以下命令以允许CloudWatch代理在您的托管节点上运行。此命令可以读取节点上的信息并将其写入CloudWatch。只有当您将使用亚马逊EventBridge或亚马逊CloudWatch日志等服务时，您的服务配置文件才需要此政策。

aws iam attach-role-policy \
    --role-name SSMServiceRole \
    --policy-arn arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy

如果您尚未安装和配置Amazon Tools for PowerShell（适用于 Windows 的工具PowerShell）。

有关信息，请参阅安装 Amazon Tools for PowerShell。

在本地计算机上使用以下信任策略创建一个文本文件，文件名称类似于 SSMService-Trust.json。确保使用 .json 文件扩展名保存该文件。请务必指定您在其中创建混合激活的 ARN 中的 Amazon Web Services 账户 和 Amazon Web Services 区域。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"123456789012"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:region:123456789012:*"
            }
         }
      }
   ]
}

PowerShell在管理模式下打开，在创建 JSON 文件的目录中，按如下方式运行 n ew-iamRole 以创建服务角色。该示例创建一个名为 SSMServiceRole 的角色。如果愿意，您也可以选择其他名称。

New-IAMRole `
    -RoleName SSMServiceRole `
    -AssumeRolePolicyDocument (Get-Content -raw SSMService-Trust.json)

按RolePolicy如下方式使用 register-IAM 以允许您创建的服务角色创建会话令牌。此会话令牌向托管节点授予使用 Systems Manager 运行命令的权限。

（必需）运行以下命令以允许托管节点使用 Amazon Systems Manager 服务核心功能。

Register-IAMRolePolicy `
    -RoleName SSMServiceRole `
    -PolicyArn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

如果为服务角色创建了自定义 S3 存储桶策略，请运行以下命令，以允许 SSM Agent 访问在该策略中指定的存储桶。将账户 ID 和my-bucket-policy-name替换为您的 Amazon Web Services 账户 ID 和存储桶名称。

Register-IAMRolePolicy `
    -RoleName SSMServiceRole `
    -PolicyArn arn:aws:iam::account-id:policy/my-bucket-policy-name

（可选）运行以下命令以允许 SSM Agent 代表您访问 Amazon Directory Service，以处理托管节点加入域的请求。只有当你将节点加入到 Microsoft AD 目录时，你的服务器角色才需要这个策略。

Register-IAMRolePolicy `
    -RoleName SSMServiceRole `
    -PolicyArn arn:aws:iam::aws:policy/AmazonSSMDirectoryServiceAccess

（可选）运行以下命令以允许CloudWatch代理在您的托管节点上运行。此命令可以读取节点上的信息并将其写入CloudWatch。只有当您将使用亚马逊EventBridge或亚马逊CloudWatch日志等服务时，您的服务配置文件才需要此政策。

Register-IAMRolePolicy `
    -RoleName SSMServiceRole `
    -PolicyArn arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy