View a markdown version of this page

Menyiapkan contoh kebijakan berbasis identitas - AWS Systems Manager
Contoh 1: Izinkan pengguna menjalankan dokumen otomatisasi dan melihat eksekusi otomatisasiContoh 2: Izinkan pengguna menjalankan versi tertentu dari dokumen otomatisasiContoh 3: Izinkan pengguna untuk mengeksekusi dokumen otomatisasi dengan tag tertentuContoh 4: Izinkan pengguna menjalankan dokumen otomatisasi saat parameter tag tertentu disediakan untuk eksekusi otomatisasi

• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola CloudWatch dasbor Amazon mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan contoh kebijakan berbasis identitas

Bagian berikut memberikan contoh kebijakan berbasis identitas IAM untuk layanan Otomasi. AWS Systems Manager Untuk informasi selengkapnya tentang cara membuat kebijakan berbasis identitas IAM menggunakan contoh dokumen Kebijakan JSON ini, lihat Membuat kebijakan IAM di Panduan Pengguna IAM.

catatan

Semua contoh berisi akun fiktif. IDs ID akun tidak boleh ditentukan dalam Nama Sumber Daya Amazon (ARN) untuk dokumen publik yang AWS dimiliki.

Contoh

Contoh 1: Izinkan pengguna menjalankan dokumen otomatisasi dan melihat eksekusi otomatisasi

Contoh kebijakan IAM berikut memungkinkan pengguna untuk melakukan hal berikut:

  • Jalankan dokumen otomatisasi yang ditentukan dalam kebijakan. Nama dokumen ditentukan oleh entri berikut.

    arn:aws:ssm:*:111122223333:document/{{DocumentName}}

  • Hentikan dan kirim sinyal ke eksekusi otomatisasi.

  • Lihat detail tentang eksekusi otomatisasi setelah dimulai.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:document/{{DocumentName}}",
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ]
        },
        {
            "Action": [
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution",
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeAutomationStepExecutions",
                "ssm:SendAutomationSignal"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Contoh 2: Izinkan pengguna menjalankan versi tertentu dari dokumen otomatisasi

Contoh berikut kebijakan IAM memungkinkan pengguna untuk menjalankan versi tertentu dari dokumen otomatisasi:

  • Nama dokumen otomatisasi ditentukan oleh entri berikut.

    arn:aws:ssm:*:111122223333:document/{{DocumentName}}

  • Versi dokumen otomatisasi ditentukan oleh entri berikut.

    "ssm:DocumentVersion": "5"
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:document/{{DocumentName}}"
            ],
            "Condition": {
                "ForAnyValue:StringEquals": {
                   "ssm:DocumentVersion": ["5"]
                }
            }
        },
        {
            "Action": [
                "ssm:StartAutomationExecution"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution",
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeAutomationStepExecutions",
                "ssm:SendAutomationSignal"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Contoh 3: Izinkan pengguna untuk mengeksekusi dokumen otomatisasi dengan tag tertentu

Contoh berikut kebijakan IAM memungkinkan pengguna untuk menjalankan dokumen otomatisasi yang memiliki tag tertentu:

  • Nama dokumen otomatisasi ditentukan oleh entri berikut.

    arn:aws:ssm:*:111122223333:document/{{DocumentName}}

  • Tag dokumen otomatisasi ditentukan oleh entri berikut.

    "ssm:DocumentVersion": "5"
JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:document/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/stage": "production"
                }
            }
        },
        {
            "Action": [
                "ssm:StartAutomationExecution"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution",
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeAutomationStepExecutions",
                "ssm:SendAutomationSignal"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Contoh 4: Izinkan pengguna menjalankan dokumen otomatisasi saat parameter tag tertentu disediakan untuk eksekusi otomatisasi

Contoh berikut kebijakan IAM memberikan izin kepada pengguna untuk menjalankan dokumen otomatisasi ketika parameter tag tertentu disediakan untuk eksekusi otomatisasi:

  • Jalankan dokumen otomatisasi yang ditentukan dalam kebijakan. Nama dokumen ditentukan oleh entri berikut.

    arn:aws:ssm:*:111122223333:document/{{DocumentName}}

  • Harus menyediakan parameter tag tertentu untuk eksekusi otomatisasi. Parameter tag untuk sumber daya eksekusi otomatisasi ditentukan oleh entri berikut.

    "aws:ResourceTag/stage": "production"

  • Hentikan dan kirim sinyal ke eksekusi otomatisasi yang memiliki tag yang ditentukan.

  • Lihat detail tentang eksekusi otomatisasi yang memiliki tag yang ditentukan.

  • Tambahkan tag yang ditentukan ke sumber daya SSM.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": "ssm:StartAutomationExecution",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:document/{{DocumentName}}"
            ]
        },
        {
            "Action": [
                "ssm:StartAutomationExecution",
                "ssm:StopAutomationExecution",
                "ssm:GetAutomationExecution",
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeAutomationStepExecutions",
                "ssm:SendAutomationSignal"
            ],
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ],
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/environment": "beta"
                }
            }
        },
        {
            "Action": "ssm:AddTagsToResource",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:111122223333:automation-execution/*"
            ]
        }
    ]
}