为边缘设备设置 Amazon Systems Manager

安装并配置 Amazon Command Line Interface (Amazon CLI)（如果尚未执行该操作）。

有关信息，请参阅安装或更新 Amazon CLI 的最新版本。

在本地计算机上使用以下信任策略创建一个文本文件，文件名称类似于 SSMService-Trust.json。确保使用 .json 文件扩展名保存该文件。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {
            "Service": "ssm.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
    }
}

打开 Amazon CLI，在创建该 JSON 文件的目录下，运行 create-role 命令以创建服务角色。将每个示例资源占位符替换为您自己的信息。

Linux 和 macOS

aws iam create-role \
    --role-name SSMServiceRole \
    --assume-role-policy-document file://SSMService-Trust.json 

Windows

aws iam create-role ^
    --role-name SSMServiceRole ^
    --assume-role-policy-document file://SSMService-Trust.json 

按如下方式运行 attach-role-policy 命令，以允许您刚创建的服务角色创建会话令牌。该会话令牌向您的边缘设备授予使用 Systems Manager 运行命令的权限。

（必需）运行以下命令以允许边缘设备使用 Amazon Systems Manager 服务核心功能。

Linux 和 macOS

aws iam attach-role-policy \
    --role-name SSMServiceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

Windows

aws iam attach-role-policy ^
    --role-name SSMServiceRole ^
    --policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

如果为服务角色创建了自定义 S3 存储桶策略，请运行以下命令，以允许 Amazon Systems Manager Agent (SSM Agent) 访问在该策略中指定的存储桶。将 account_ID 和 my_bucket_policy_name 替换为您的 Amazon Web Services 账户 ID 和存储桶名称。

Linux 和 macOS

aws iam attach-role-policy \
    --role-name SSMServiceRole \
    --policy-arn arn:aws:iam::account_ID:policy/my_bucket_policy_name

Windows

aws iam attach-role-policy ^
    --role-name SSMServiceRole ^
    --policy-arn arn:aws:iam::account_id:policy/my_bucket_policy_name

（可选）运行以下命令以允许 SSM Agent 代表您访问 Amazon Directory Service，以处理边缘设备加入域的请求。只有在将边缘设备加入 Microsoft AD 目录时，服务角色才需要使用此策略。

Linux 和 macOS

aws iam attach-role-policy \
    --role-name SSMServiceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonSSMDirectoryServiceAccess

Windows

aws iam attach-role-policy ^
    --role-name SSMServiceRole ^
    --policy-arn arn:aws:iam::aws:policy/AmazonSSMDirectoryServiceAccess

（可选）运行以下命令以允许 CloudWatch 代理在边缘设备上运行。通过使用此命令，可以读取设备上的信息并将其写入 CloudWatch。仅当您要使用 Amazon EventBridge 或 Amazon CloudWatch Logs 等服务时，服务角色才需要使用此策略。

aws iam attach-role-policy \
    --role-name SSMServiceRole \
    --policy-arn arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy

如果您尚未安装和配置 Amazon Tools for PowerShell（适用于 Windows PowerShell 的工具），请执行这些操作。

有关信息，请参阅安装 Amazon Tools for PowerShell。

在本地计算机上使用以下信任策略创建一个文本文件，文件名称类似于 SSMService-Trust.json。确保使用 .json 文件扩展名保存该文件。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {
            "Service": "ssm.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
    }
}

在管理模式下打开 PowerShell，在创建此 JSON 文件的目录中，按如下方式运行 New-IAMRole 以创建服务角色。

New-IAMRole `
    -RoleName SSMServiceRole `
    -AssumeRolePolicyDocument (Get-Content -raw SSMService-Trust.json)

按如下方式使用 Register-IAMRolePolicy，以允许您创建的服务角色创建会话令牌。该会话令牌向您的边缘设备授予使用 Systems Manager 运行命令的权限。

（必需）运行以下命令以允许边缘设备使用 Amazon Systems Manager 服务核心功能。

Register-IAMRolePolicy `
    -RoleName SSMServiceRole `
    -PolicyArn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

如果为服务角色创建了自定义 S3 存储桶策略，请运行以下命令，以允许 SSM Agent 访问在该策略中指定的存储桶。将 account_ID 和 my_bucket_policy_name 替换为您的 Amazon Web Services 账户 ID 和存储桶名称。

Register-IAMRolePolicy `
    -RoleName SSMServiceRole `
    -PolicyArn arn:aws:iam::account_ID:policy/my_bucket_policy_name

（可选）运行以下命令以允许 SSM Agent 代表您访问 Amazon Directory Service，以处理边缘设备加入域的请求。只有在将边缘设备加入 Microsoft AD 目录时，服务角色才需要使用此策略。

Register-IAMRolePolicy `
    -RoleName SSMServiceRole `
    -PolicyArn arn:aws:iam::aws:policy/AmazonSSMDirectoryServiceAccess

（可选）运行以下命令以允许 CloudWatch 代理在边缘设备上运行。通过使用此命令，可以读取设备上的信息并将其写入 CloudWatch。仅当您要使用 Amazon EventBridge 或 Amazon CloudWatch Logs 等服务时，服务角色才需要使用此策略。

Register-IAMRolePolicy `
    -RoleName SSMServiceRole `
    -PolicyArn arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy