本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# EC2 IAM 实例配置文件
<a name="defaults-instance-profile"></a>

实例配置文件是 IAM 角色的容器，您可以使用该容器在 EC2 实例启动时将角色信息传递给实例。

------
#### [ MALZ ]

有两个 AMS 默认实例配置文件`customer-mc-ec2-instance-profile`和`customer-mc-ec2-instance-profile-s3`。这些实例配置文件提供下表中所述的权限。


**政策描述**  
<a name="default-iam-profile-malz-table"></a>

- **`customer-mc-ec2-instance-profile`**
  - `AmazonSSMManagedInstanceCore`：允许 Ec2 实例使用 SSM 代理。
  - `AMSInstanceProfileLoggingPolicy`: 允许 Ec2 实例将日志推送到 S3 和 CloudWatch。
  - `AMSInstanceProfileManagementPolicy`：允许 Ec2 实例执行启动操作，例如加入 Active Directory。
  - `AMSInstanceProfileMonitoringPolicy`：允许 Ec2 实例向 AMS 监控服务报告调查结果。
  - `AMSInstanceProfilePatchPolicy`：允许 Ec2 实例接收补丁。

- **`customer-mc-ec2-instance-profile-s3`**
  - `AMSInstanceProfileBYOEPSPolicy`: 允许 Ec2 实例使用 [AMS 自带 EPS](https://docs.aws.amazon.com/managedservices/latest/userguide/ams-byoeps.html)。
  - `AMSInstanceProfileLoggingPolicy`: 允许 Ec2 实例将日志推送到 S3 和 CloudWatch。
  - `AMSInstanceProfileManagementPolicy`：允许 Ec2 实例执行启动操作，例如加入 Active Directory。
  - `AMSInstanceProfileMonitoringPolicy`：允许 Ec2 实例向 AMS 监控服务报告调查结果。
  - `AMSInstanceProfilePatchPolicy`：允许 Ec2 实例接收补丁。
  - `AMSInstanceProfileS3WritePolicy`：允许 Ec2 实例 read/write 访问客户的 S3 存储桶。



------
#### [ SALZ ]

有一个 AMS 默认实例配置文件`customer-mc-ec2-instance-profile`，用于授予 IAM 实例策略中的权限`customer_ec2_instance_profile_policy`。此实例配置文件提供下表中所述的权限。该配置文件向在实例上运行的应用程序授予权限，而不是向登录实例的用户授予权限。

策略通常包含多个语句，其中每个语句授予对不同资源集的权限或在特定条件下授予权限。

顺时针 = CloudWatch。ARN = 亚马逊资源名称。\* = 通配符（任意）。


**EC2 默认 IAM 实例配置文件权限**  

<table>
<thead>
  <tr><th colspan="4">顺时针 = CloudWatch。ARN = 亚马逊资源名称。\* = 通配符（任意）。</th></tr>
  <tr><th>策略声明</th><th>效果</th><th>操作</th><th>描述和资源 (ARN)</th></tr>
</thead>
<tbody>
  <tr><td colspan="4">**亚马逊弹性计算云（亚马逊 EC2）**</td></tr>
  <tr><td>EC2 消息操作</td><td>允许</td><td>AcknowledgeMessage,<br />DeleteMessage,<br />FailMessage,<br />GetEndpoint,<br />GetMessages,<br />SendReply</td><td>允许在你的账户中执行 S EC2 ystems Manager 的消息传送操作。</td></tr>
  <tr><td>Ec2 描述</td><td>允许</td><td>\* (全部)</td><td>允许控制台显示您账户 EC2 中的配置详细信息。</td></tr>
  <tr><td>我正在获取角色 ID</td><td>允许</td><td>GetRole</td><td> EC2 允许从`aws:iam::*:role/customer-*`和获取您的 IAM ID `aws:iam::*:role/customer_*`。</td></tr>
  <tr><td rowspan="2">上传日志事件的实例</td><td rowspan="2">允许</td><td>创建日志组</td><td>允许在以下位置创建日志：`aws:logs:*:*:log-group:i-*`</td></tr>
  <tr><td>创建日志流</td><td>允许将日志流式传输到：`aws:logs:*:*:log-group:i-*`</td></tr>
  <tr><td>CW for MMS</td><td>允许</td><td>DescribeAlarms,<br />PutMetricAlarm,<br />PutMetricData</td><td> CloudWatch 允许在您的账户中检索警报。<br />允许 CW 创建或更新警报并将其与指定指标关联。<br />允许 CW 向您的账户发布指标数据点。</td></tr>
  <tr><td>Ec2 标签</td><td>允许</td><td>CreateTags,<br />DescribeTags,</td><td>允许在您账户中的指定实例上添加、覆盖和描述标签。</td></tr>
  <tr><td>明确拒绝 CW 日志</td><td>拒绝</td><td>DescribeLogStreams,<br />FilterLogEvents,<br />GetLogEvents</td><td>不允许列出、筛选或获取以下内容的日志流：`aws:logs:*:*:log-group:/mc/*`</td></tr>
  <tr><td colspan="4">**亚马逊 S EC2 imple Systems Manager (SSM)**</td></tr>
  <tr><td>SSM 操作</td><td>允许</td><td>DescribeAssociation,<br />GetDocument,<br />ListAssociations,<br />UpdateAssociationStatus,<br />UpdateInstanceInformation</td><td>允许在您的账户中使用各种 SSM 功能。</td></tr>
  <tr><td>S3 中的 SSM 访问权限</td><td>允许</td><td>GetObject,<br />PutObject,<br />AbortMultipartUpload,<br />ListMultipartUploadPorts,<br />ListBucketMultipartUploads</td><td>允许上的 SSM 获取和更新中的对象，中止向中多部分上传的多部分对象，并列出可供多部分上传的端口和存储桶。 EC2 `aws:s3:::mc-*-internal-*/aws/ssm*`</td></tr>
  <tr><td colspan="4">**亚马逊 EC2 简单存储服务 (S3) Simple Storage Service**</td></tr>
  <tr><td>在 S3 中获取对象</td><td>允许</td><td>获取<br />列表</td><td>允许 EC2 应用程序检索和列出您账户中 S3 存储桶中的对象。</td></tr>
  <tr><td>客户加密日志 S3 访问权限</td><td>允许</td><td>PutObject</td><td>允许 EC2 应用程序更新中的对象 `aws:s3:::mc-*-logs-*/encrypted/app/*`</td></tr>
  <tr><td>修补数据放置对象 S3</td><td>允许</td><td>PutObject</td><td>允许 EC2 应用程序将修补数据上传到您的 S3 存储桶，网址为 `aws:s3:::awsms-a*-patch-data-*`</td></tr>
  <tr><td>将自己的日志上传到 S3</td><td>允许</td><td>PutObject</td><td>允许 EC2 应用程序将自定义日志上传到：`aws:s3:::mc-a*-logs-*/aws/instances/*/${aws:userid}/*`</td></tr>
  <tr><td>明确拒绝 MC 命名空间 S3 日志</td><td>拒绝</td><td>GetObject\*<br />看跌\*</td><td>不允许 EC2 应用程序从以下位置获取或放置任何对象：<br />`aws:s3:::mc-*-logs-*/encrypted/mc*`,<br />`aws:s3:::mc-*-logs-*/mc/*`,<br />`aws:s3:::mc-a*-logs-*-audit/*`</td></tr>
  <tr><td>明确拒绝 S3 删除</td><td>拒绝</td><td>\* (全部)</td><td>不允许 EC2 应用程序对以下对象执行任何操作：<br />`aws:s3:::mc-a*-logs-*/*`,<br />`aws:s3:::mc-a*-internal-*/*`,</td></tr>
  <tr><td>明确拒绝 S3 CFN 存储桶</td><td>拒绝</td><td>Delete\*</td><td>不允许 EC2 应用程序从以下位置删除任何对象：`aws:s3:::cf-templates-*`</td></tr>
  <tr><td>明确拒绝列出存储桶 S3</td><td>拒绝</td><td>ListBucket</td><td>不允许您列出来自以下内容的任何加密、审核日志或保留 (mc) 对象：`aws:s3:::mc-*-logs-*`</td></tr>
  <tr><td colspan="4">**AWS Secrets Manager 在亚马逊 EC2**</td></tr>
  <tr><td>趋势云一号秘密访问权限</td><td>允许</td><td>GetSecretValue</td><td> EC2 允许亚马逊访问 Trend Cloud One 迁移的机密：<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-id*`,<br />`arn:aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-activation-token*`,<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-id*`,<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-guid*`</td></tr>
  <tr><td colspan="4">**AWS Key Management Service 在亚马逊 EC2**</td></tr>
  <tr><td>Trend Cloud One 解密密钥</td><td>允许</td><td>Decrypt</td><td> EC2 允许亚马逊使用别名/-migration解 AWS KMS 密密钥 ams/eps/cloudone<br />`arn:aws:kms:*:*:alias/ams/eps/cloudone-migration`</td></tr>
</tbody>
</table>


------

如果您不熟悉 Amazon IAM 政策，请参阅 [IAM 政策概述](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)了解重要信息。

**注意**  
策略通常包含多个语句，其中每个语句授予对不同资源集的权限或在特定条件下授予权限。