终止支持通知： AWS 将于 2027 年 6 月 30 日终止对 AMS Advanced 的支持。2027 年 6 月 30 日之后，您将无法再访问 AMS 高级控制台或 AMS 高级版资源。有关更多信息，请参阅 AMS 高级版终止支持。
本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
AMS 访问您的账户的原因和时间
AWS Managed Services (AMS) 管理您的 AWS 基础设施，有时，出于特定原因，AMS 操作员和管理员会访问您的账户。这些访问事件记录在您的 AWS CloudTrail (CloudTrail) 日志中。
以下主题解释了 AMS 访问您的账户的原因、时间和方式。
AMS 客户账户访问触发器
AMS 客户账户访问活动由触发器驱动。今天的触发器是在我们的问题管理系统中为响应 Amazon CloudWatch (CloudWatch) 警报和事件以及您提交的事件报告或服务请求而创建的 AWS 票证。每次访问可能会执行多个服务呼叫和主机级别的活动。
下表列出了访问理由、触发器和触发器的启动者。
| 访问 | 发起者 | 触发器 |
|---|---|---|
修补 |
AMS |
补丁问题 |
基础设施部署 |
AMS |
部署问题 |
内部问题调查 |
AMS |
问题问题（已确定为系统性问题） |
警报调查和补救 |
AMS |
AWS Systems Manager 运营工作项目 (SSM OpsItems) |
手动执行 RFC |
You |
变更申请 (RFC) 问题。（非自动化 RFCs 可能需要 AMS 访问您的资源） |
事故调查和补救 |
You |
入站支持案例（您提交的事件或服务请求） |
入库服务请求配送 |
You |
AMS 客户账户访问权限 IAM 角色
触发后，AMS 使用 AWS Identity and Access Management (IAM) 角色访问客户账户。与您账户中的所有活动一样，角色及其使用情况均已登录 CloudTrail。
重要
请勿修改或删除这些角色。
| 角色名称 | 账户类型（SALZ、MALZ 管理、MALZ 应用程序等） | 说明 |
|---|---|---|
ams-service-admin |
SALZ、MALZ |
AMS 服务自动化访问和自动基础设施部署，例如 Patch、Backup、自动修复。 |
ams-application-infra-read-只有 |
SALZ、MALZ 应用程序、MALZ Tools-Application |
操作员只读权限 |
ams-application-infra-operations |
操作员访问 incidents/service 请求 | |
ams-application-infra-admin |
AD 管理员访问权限 | |
ams-primary-read-only |
MALZ 管理层 |
操作员只读权限 |
ams-primary-operations |
操作员访问 incidents/service 请求 | |
ams-primary-admin |
AD 管理员访问权限 | |
ams-logging-read-only |
MALZ 日志记录 |
操作员只读权限 |
ams-logging-operations |
操作员访问 incidents/service 请求 | |
ams-logging-admin |
AD 管理员访问权限 | |
ams-networking-read-only |
MALZ 网络 |
操作员只读权限 |
ams-networking-operations |
操作员访问 incidents/service 请求 | |
ams-networking-admin |
AD 管理员访问权限 | |
ams-shared-services-read-只有 |
MALZ 共享服务 |
操作员只读权限 |
ams-shared-services-operations |
操作员访问 incidents/service 请求 | |
ams-shared-services-admin |
AD 管理员访问权限 | |
ams-security-read-only |
MALZ 安全 |
操作员只读权限 |
ams-security-operations |
操作员访问 incidents/service 请求 | |
ams-security-admin |
AD 管理员访问权限 | |
ams-access-security-analyst |
SALZ、MALZ 应用程序、MALZ Tools-Application、MALZ Core |
AMS 安全访问权限 |
ams-access-security-analyst-只读 |
AMS 安全，只读权限 | |
Sentinel AdminUser _ _Role_ mbHe PXHaz RQadu0 PVc CDc |
SALZ |
[BreakGlassRole] 用于 BreakGlass 存入客户账户 |
Sentinel PowerUser _ _Role_ S0 wZuPu ROOl0 IazDb RI9 |
SALZ、MALZ |
Poweruser 可以访问客户账户以执行 RFC |
Sentinel_ _Role_Pd4L6Rw9 lkd5 ReadOnlyUser RD0ln JOo |
ReadOnly 访问客户账户以执行 RFC | |
ams_admin_role |
管理员访问客户账户以执行 RFC | |
AWSManagedServices_Provisioning_CustomerStacksRole |
用于通过 Ingest 代表客户启动和更新 CFN 堆栈 CloudFormation | |
客户_ssm_自动化_角色 |
CT 执行将角色传递给 SSM Automation 以执行运行手册 | |
ams_ssm_automation_role |
SALZ、MALZ 应用程序、MALZ Core |
AMS 服务将角色传递给 SSM Automation 以执行运行手册 |
ams_ssm_iam_deployment_role |
MALZ 应用程序 |
IAM 目录使用的角色 |
ams_ssm_shared_svcs_mediary_role |
MALZ 共享服务 |
应用程序 ams_ssm_automation_role 在共享服务账户中执行特定 SSM 文档时使用的角色 |
AmsOpsCenterRole |
SALZ、MALZ |
用于在客户账户 OpsItems 中创建和更新 |
AMSOpsItemAutoExecutionRole |
用于获取 SSM 文档、描述资源标签 OpsItems、更新和启动自动化 | |
customer-mc-ec2 实例配置文件 |
默认客户 EC2 实例配置文件（角色） |
请求实例访问权限
要访问资源，必须先提交变更申请 (RFC) 才能访问该资源。您可以请求两种访问权限：管理员（读/写权限）和只读（标准用户访问权限）。默认情况下，访问持续八小时。此信息为必填项：
您要访问的一个或多个实例的堆栈 IDs ID 或堆栈集。
您的 AMS 信任域的完全限定域名。
想要访问的用户的 Active Directory 用户名。
您要访问堆栈所在的 VPC 的 ID。
获得访问权限后，您可以根据需要更新请求。
有关如何请求访问权限的示例，请参阅堆栈管理员访问权限 | 授予或堆栈只读访问权限 | 授予。
