• AWS Systems Manager CloudWatch 控制面板在 2026 年 4 月 30 日之后将不再可用。客户可以像现在一样继续使用 Amazon CloudWatch 控制台来查看、创建和管理其 Amazon CloudWatch 控制面板。有关更多信息，请参阅 [Amazon CloudWatch 控制面板文档](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html)。

# AWS Systems Manager 引用
<a name="reference"></a>

以下信息和主题可以帮助您更好地实施 AWS Systems Manager 解决方案。

**委托人**  
在 AWS Identity and Access Management (IAM) 中，您可使用委托人策略元素授予或拒绝授予针对资源的服务访问权限。Systems Manager 的主要策略元素的值是 `ssm.amazonaws.com`。

 **支持的 AWS 区域 和端点 **  
请参阅《Amazon Web Services 一般参考》**中的 [Systems Manager service endpoints](https://docs.aws.amazon.com/general/latest/gr/ssm.html#ssm_region)。

 **服务配额**  
请参阅《Amazon Web Services 一般参考》**中的 [Systems Manager service quotas](https://docs.aws.amazon.com/general/latest/gr/ssm.html#limits_ssm)。

 **API 引用**  
请参阅 *[AWS Systems Manager API 参考](https://docs.aws.amazon.com/systems-manager/latest/APIReference/)*。

 **AWS CLI 命令引用**  
请参阅 [AWS CLI 命令引用的 AWS Systems Manager 部分](https://docs.aws.amazon.com/cli/latest/reference/ssm/index.html)。

 **AWS Tools for PowerShell Cmdlet 引用**  
请参阅 [AWS Tools for PowerShell Cmdlet 引用的 AWS Systems Manager 部分](https://docs.aws.amazon.com/powershell/latest/reference/items/AWS_Systems_Manager_cmdlets.html)。

 **GitHub 上的 SSM Agent 存储库**  
请参阅 [aws/amazon-ssm-agent](https://github.com/aws/amazon-ssm-agent)。

 **提问**  
[AWSre:Post](https://repost.aws/tags/TA-UbbRGVYRWCDaCvae6itYg/aws-systems-manager) 中的 Systems Manager 问题

 ** AWS 新闻博客**  
[管理工具](https://aws.amazon.com/blogs/mt/)

**Topics**
+ [将此服务与 AWS SDK 结合使用](sdk-general-information-section.md)
+ [参考：用于修补操作的 Amazon S3 存储桶](patch-operations-s3-buckets.md)
+ [引用：Amazon EventBridge 事件模式和 Systems Manager 类型](reference-eventbridge-events.md)
+ [参考：适用于 Systems Manager 的 Cron 和 Rate 表达式](reference-cron-and-rate-expressions.md)
+ [参考：ec2messages、ssmmessages 和其他 API 操作](systems-manager-setting-up-messageAPIs.md)
+ [参考：Systems Manager 的日期和时间字符串格式](systems-manager-datetime-strings.md)

# 将此服务与 AWS SDK 结合使用
<a name="sdk-general-information-section"></a>

AWS 软件开发工具包（SDK）适用于许多常用编程语言。每个软件开发工具包都提供 API、代码示例和文档，使开发人员能够更轻松地以其首选语言构建应用程序。


| SDK 文档 | 代码示例 | 
| --- | --- | 
| [适用于 C\$1\$1 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-cpp) | [适用于 C\$1\$1 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/cpp) | 
| [AWS CLI](https://docs.aws.amazon.com/cli) | [AWS CLI 代码示例](https://docs.aws.amazon.com/code-library/latest/ug/cli_2_code_examples.html) | 
| [适用于 Go 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-go) | [适用于 Go 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/gov2) | 
| [适用于 Java 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-java) | [适用于 Java 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/javav2) | 
| [适用于 JavaScript 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-javascript) | [适用于 JavaScript 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/javascriptv3) | 
| [适用于 Kotlin 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-kotlin) | [适用于 Kotlin 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/kotlin) | 
| [适用于 .NET 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-net) | [适用于 .NET 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/dotnetv3) | 
| [适用于 PHP 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-php) | [适用于 PHP 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/php) | 
| [AWS Tools for PowerShell](https://docs.aws.amazon.com/powershell) | [AWS Tools for PowerShell 代码示例](https://docs.aws.amazon.com/code-library/latest/ug/powershell_5_code_examples.html) | 
| [适用于 Python (Boto3) 的 AWS SDK](https://docs.aws.amazon.com/pythonsdk) | [适用于 Python (Boto3) 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/python) | 
| [适用于 Ruby 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-ruby) | [适用于 Ruby 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/ruby) | 
| [适用于 Rust 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-rust) | [适用于 Rust 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/rustv1) | 
| [适用于 SAP ABAP 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-sapabap) | [适用于 SAP ABAP 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/sap-abap) | 
| [适用于 Swift 的 AWS SDK](https://docs.aws.amazon.com/sdk-for-swift) | [适用于 Swift 的 AWS SDK 代码示例](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/swift) | 

**示例可用性**  
找不到所需的内容？ 通过使用此页面底部的**提供反馈**链接请求代码示例。

# 参考：用于修补操作的 Amazon S3 存储桶
<a name="patch-operations-s3-buckets"></a>

在执行各种 Patch Manager 修补操作的过程中，AWS Systems Manager Agent（SSM Agent）访问 Amazon Web Services（AWS）拥有和维护的某些 Amazon Simple Storage Service（Amazon S3）存储桶。这些 S3 存储桶可以公开访问，默认情况下，SSM Agent 使用 `HTTP` 调用连接到这些存储桶。

但是，如果您正在 Systems Manager 操作中使用虚拟私有云（VPC）端点，则必须在 Systems Manager 的 Amazon Elastic Compute Cloud（Amazon EC2）实例配置文件中提供显式权限，或者在[混合和多云](operating-systems-and-machine-types.md#supported-machine-types)环境中的非 EC2 计算机的服务角色中提供。否则，资源无法访问这些公有存储桶。

本参考主题列出了每个受支持 AWS 区域 的修补相关存储桶。

有关在 EC2 实例配置文件中指定这些 S3 存储桶的信息，请参阅 [SSM Agent 与 AWS 托管 S3 存储桶进行通信](ssm-agent-technical-details.md#ssm-agent-minimum-s3-permissions)。

有关将 VPC 端点与 Systems Manager 结合使用的信息，请参阅 [使用适用于 Systems Manager 的 VPC 端点提高 EC2 实例的安全性](setup-create-vpc.md)。

**Topics**
+ [包含用于修补操作的 SSM 命令文档的存储桶（Linux 和 Windows Server）](#aws-patch-manager-buckets-linux-windows)
+ [包含用于修补操作的 SSM 命令文档的存储桶 （macOS）](#aws-patch-manager-buckets-macos)
+ [包含 AWS 托管补丁基准快照的存储桶](#aws-patch-manager-buckets-baseline-snapshots)

## 包含用于修补操作的 SSM 命令文档的存储桶（Linux 和 Windows Server）
<a name="aws-patch-manager-buckets-linux-windows"></a>

格式为 `aws-patch-manager-region-unique-suffix` 的存储桶包含在 Linux 和 Windows Server 操作系统上进行 Patch Manager 修补操作时使用的以下文档：
+ `AWS-RunPatchBaseline`
+ `AWS-RunPatchBaselineAssociation`
+ `AWS-RunPatchBaselineWithHooks`
+ `AWS-InstanceRebootWithHooks`
+ `AWS-PatchAsgInstance`
+ `AWS-PatchInstanceWithRollback`


|  区域名称  | 区域代码 | `aws-patch-manager-region-suffix` 存储桶 | 
| --- | --- | --- | 
| 美国东部（俄亥俄州） | us-east-2 | aws-patch-manager-us-east-2-552881074 | 
| 美国东部（弗吉尼亚州北部） | us-east-1 | aws-patch-manager-us-east-1-1970c647d | 
| 美国西部（北加利福尼亚） | us-west-1 | aws-patch-manager-us-west-1-8badb4304 | 
| 美国西部（俄勒冈州） | us-west-2 | aws-patch-manager-us-west-2-34d7f99f8 | 
| 非洲（开普敦） | af-south-1 | aws-patch-manager-af-south-1-bdd5f65a9 | 
| 亚太地区（香港） | ap-east-1 | aws-patch-manager-ap-east-1-632356271 | 
| 亚太地区（海得拉巴） | ap-south-2 | aws-patch-manager-ap-south-2-32f4b4128 | 
| 亚太地区（雅加达） | ap-southeast-3 | aws-patch-manager-ap-southeast-3-aa48fc462 | 
| 亚太地区（墨尔本） | ap-southeast-4 | aws-patch-manager-ap-southeast-4-01e2c40d3 | 
| 亚太地区（孟买） | ap-south-1 | aws-patch-manager-ap-south-1-cb7c62ff9 | 
| 亚太地区（大阪） | ap-northeast-3 | aws-patch-manager-ap-northeast-3-67373598a | 
| 亚太地区（首尔） | ap-northeast-2 | aws-patch-manager-ap-northeast-2-10467995c | 
| 亚太地区（新加坡） | ap-southeast-1 | aws-patch-manager-ap-southeast-1-7fdfd9ef7 | 
| 亚太地区（悉尼） | ap-southeast-2 | aws-patch-manager-ap-southeast-2-17283a275 | 
| 亚太地区（东京） | ap-northeast-1 | aws-patch-manager-ap-northeast-1-4849fa78f | 
| 加拿大（中部） | ca-central-1 | aws-patch-manager-ca-central-1-3148e69e3 | 
| 加拿大西部（卡尔加里） | ca-west-1 | aws-patch-manager-ca-west-1-9e3a4b2f9 | 
| 欧洲地区（法兰克福） | eu-central-1 | aws-patch-manager-eu-central-1-9163fdaaf | 
| 欧洲地区（爱尔兰） | eu-west-1 | aws-patch-manager-eu-west-1-5522fb710 | 
| 欧洲（伦敦） | eu-west-2 | aws-patch-manager-eu-west-2-902a2bc74 | 
| 欧洲地区（米兰） | eu-south-1 | aws-patch-manager-eu-south-1-c52f3f594 | 
| 欧洲地区（巴黎） | eu-west-3 | aws-patch-manager-eu-west-3-29bf85721 | 
| 欧洲（西班牙） | eu-south-2 | aws-patch-manager-eu-south-2-a4cf248b1 | 
| 欧洲地区（斯德哥尔摩） | eu-north-1 | aws-patch-manager-eu-north-1-795879e9b | 
| 欧洲（苏黎世） | eu-central-2 | aws-patch-manager-eu-central-2-184ce43c8 | 
| 以色列（特拉维夫） | il-central-1 | aws-patch-manager-il-central-1-e221cb57b | 
| 中东（巴林） | me-south-1 | aws-patch-manager-me-south-1-a53fc9dce | 
| 中东（阿联酋） | me-central-1 | aws-patch-manager-me-central-1-2932f2f80 | 
| 南美洲（圣保罗） | sa-east-1 | aws-patch-manager-sa-east-1-ddf4b6a09 | 

## 包含用于修补操作的 SSM 命令文档的存储桶 （macOS）
<a name="aws-patch-manager-buckets-macos"></a>

格式为 `aws-patchmanager-macos-region-unique-suffix` 的存储桶包含在 macOS 操作系统上进行 Patch Manager 修补操作时使用的以下文档：
+ `AWS-RunPatchBaseline`
+ `AWS-RunPatchBaselineAssociation`
+ `AWS-RunPatchBaselineWithHooks`
+ `AWS-InstanceRebootWithHooks`
+ `AWS-PatchAsgInstance`
+ `AWS-PatchInstanceWithRollback`


|  区域名称  | 区域代码 | `aws-patchmanager-macos-region-suffix` 存储桶 | 
| --- | --- | --- | 
| 美国东部（俄亥俄州） | us-east-2 | aws-patchmanager-macos-us-east-2-552881074 | 
| 美国东部（弗吉尼亚州北部） | us-east-1 | aws-patchmanager-macos-us-east-1-1970c647d | 
| 美国西部（北加利福尼亚） | us-west-1 | aws-patchmanager-macos-us-west-1-8badb4304 | 
| 美国西部（俄勒冈州） | us-west-2 | aws-patchmanager-macos-us-west-2-34d7f99f8 | 
| 非洲（开普敦） | af-south-1 | aws-patchmanager-macos-af-south-1-bdd5f65a9 | 
| 亚太地区（香港） | ap-east-1 | aws-patchmanager-macos-ap-east-1-632356271 | 
| 亚太地区（海得拉巴） | ap-south-2 | aws-patchmanager-macos-ap-south-2-32f4b4128 | 
| 亚太地区（雅加达） | ap-southeast-3 | aws-patchmanager-macos-ap-southeast-3-aa48fc462 | 
| 亚太地区（墨尔本） | ap-southeast-4 | aws-patchmanager-macos-ap-southeast-4-01e2c40d3 | 
| 亚太地区（孟买） | ap-south-1 | aws-patchmanager-macos-ap-south-1-cb7c62ff9 | 
| 亚太地区（大阪） | ap-northeast-3 | aws-patchmanager-macos-ap-northeast-3-67373598a | 
| 亚太地区（首尔） | ap-northeast-2 | aws-patchmanager-macos-ap-northeast-2-10467995c | 
| 亚太地区（新加坡） | ap-southeast-1 | aws-patchmanager-macos-ap-southeast-1-7fdfd9ef7 | 
| 亚太地区（悉尼） | ap-southeast-2 | aws-patchmanager-macos-ap-southeast-2-17283a275 | 
| 亚太地区（东京） | ap-northeast-1 | aws-patchmanager-macos-ap-northeast-1-4849fa78f | 
| 加拿大（中部） | ca-central-1 | aws-patchmanager-macos-ca-central-1-3148e69e3 | 
| 加拿大西部（卡尔加里） | ca-west-1 | aws-patchmanager-macos-ca-west-1-9e3a4b2f9 | 
| 欧洲地区（法兰克福） | eu-central-1 | aws-patchmanager-macos-eu-central-1-9163fdaaf | 
| 欧洲地区（爱尔兰） | eu-west-1 | aws-patchmanager-macos-eu-west-1-5522fb710 | 
| 欧洲（伦敦） | eu-west-2 | aws-patchmanager-macos-eu-west-2-902a2bc74 | 
| 欧洲地区（米兰） | eu-south-1 | aws-patchmanager-macos-eu-south-1-c52f3f594 | 
| 欧洲地区（巴黎） | eu-west-3 | aws-patchmanager-macos-eu-west-3-29bf85721 | 
| 欧洲（西班牙） | eu-south-2 | aws-patchmanager-macos-eu-south-2-a4cf248b1 | 
| 欧洲地区（斯德哥尔摩） | eu-north-1 | aws-patchmanager-macos-eu-north-1-795879e9b | 
| 欧洲（苏黎世） | eu-central-2 | aws-patchmanager-macos-eu-central-2-184ce43c8 | 
| 以色列（特拉维夫） | il-central-1 | aws-patchmanager-macos-il-central-1-e221cb57b | 
| 中东（巴林） | me-south-1 | aws-patchmanager-macos-me-south-1-a53fc9dce | 
| 中东（阿联酋） | me-central-1 | aws-patchmanager-macos-me-central-1-2932f2f80 | 
| 南美洲（圣保罗） | sa-east-1 | aws-patchmanager-macos-sa-east-1-ddf4b6a09 | 

## 包含 AWS 托管补丁基准快照的存储桶
<a name="aws-patch-manager-buckets-baseline-snapshots"></a>

格式为 `patch-baseline-snapshot-region` 或 `patch-baseline-snapshot-region-unique-suffix` 的存储桶包含 AWS 托管补丁基准快照。如果您使用下列 SSM 文档，则必须具有此 S3 存储桶的访问权限：
+ `AWS-RunPatchBaseline`
+ `AWS-RunPatchBaselineAssociation`
+ `AWS-RunPatchBaselineWithHooks`
+ `AWS-ApplyPatchBaseline`（原有 SSM 文档）


|  区域名称  | 区域代码 | `patch-baseline-snapshot-*` 存储桶 | 
| --- | --- | --- | 
| 美国东部（俄亥俄州） | us-east-2 | patch-baseline-snapshot-us-east-2 | 
| 美国东部（弗吉尼亚州北部） | us-east-1 | patch-baseline-snapshot-us-east-1 | 
| 美国西部（北加利福尼亚） | us-west-1 | patch-baseline-snapshot-us-west-1 | 
| 美国西部（俄勒冈州） | us-west-2 | patch-baseline-snapshot-us-west-2 | 
| 非洲（开普敦） | af-south-1 | patch-baseline-snapshot-af-south-1-tbxdb5b9 | 
| 亚太地区（香港） | ap-east-1 | patch-baseline-snapshot-ap-east-1 | 
| 亚太地区（海得拉巴） | ap-south-2 | patch-baseline-snapshot-ap-south-2-50209442 | 
| 亚太地区（雅加达） | ap-southeast-3 | patch-baseline-snapshot-ap-southeast-3-be0a3174 | 
| 亚太地区（墨尔本） | ap-southeast-4 | patch-baseline-snapshot-ap-southeast-4-dc6f76ce | 
| 亚太地区（孟买） | ap-south-1 | patch-baseline-snapshot-ap-south-1 | 
| 亚太地区（大阪） | ap-northeast-3 | patch-baseline-snapshot-ap-northeast-3 | 
| 亚太地区（首尔） | ap-northeast-2 | patch-baseline-snapshot-ap-northeast-2 | 
| 亚太地区（新加坡） | ap-southeast-1 | patch-baseline-snapshot-ap-southeast-1 | 
| 亚太地区（悉尼） | ap-southeast-2 | patch-baseline-snapshot-ap-southeast-2 | 
| 亚太地区（东京） | ap-northeast-1 | patch-baseline-snapshot-ap-northeast-1 | 
| 加拿大（中部） | ca-central-1 | patch-baseline-snapshot-ca-central-1 | 
| 加拿大西部（卡尔加里） | ca-west-1 | patch-baseline-snapshot-ca-west-1 | 
| 欧洲地区（法兰克福） | eu-central-1 | patch-baseline-snapshot-eu-central-1 | 
| 欧洲地区（爱尔兰） | eu-west-1 | patch-baseline-snapshot-eu-west-1 | 
| 欧洲（伦敦） | eu-west-2 | patch-baseline-snapshot-eu-west-2 | 
| 欧洲地区（米兰） | eu-south-1 | patch-baseline-snapshot-eu-south-1 | 
| 欧洲地区（巴黎） | eu-west-3 | patch-baseline-snapshot-eu-west-3 | 
| 欧洲（西班牙） | eu-south-2 | patch-baseline-snapshot-eu-south-2-df2c9d70 | 
| 欧洲地区（斯德哥尔摩） | eu-north-1 | patch-baseline-snapshot-eu-north-1 | 
| 欧洲（苏黎世） | eu-central-2 | patch-baseline-snapshot-eu-central-2 | 
| 以色列（特拉维夫） | il-central-1 | patch-baseline-snapshot-il-central-1 | 
| 中东（巴林） | me-south-1 | patch-baseline-snapshot-me-south-1-uduvl7q8 | 
| 中东（阿联酋） | me-central-1 | patch-baseline-snapshot-me-central-1 | 
| 南美洲（圣保罗） | sa-east-1 | patch-baseline-snapshot-sa-east-1 | 

# 引用：Amazon EventBridge 事件模式和 Systems Manager 类型
<a name="reference-eventbridge-events"></a>


|  | 
| --- |
| Amazon EventBridge 是管理事件的首选方式。CloudWatch Events 和 EventBridge 是相同的底层服务和 API，但 EventBridge 提供了更多功能。您在 CloudWatch 或 EventBridge 中所做的更改将显示在每个控制台中。有关更多信息，请参阅 [https://docs.aws.amazon.com/eventbridge/](https://docs.aws.amazon.com/eventbridge/)。 | 

使用 Amazon EventBridge，您可以创建匹配传入*事件*的*规则*并将它们路由到*目标*进行处理。

一个事件表示您自己应用程序、软件即服务（SaaS）应用程序或 AWS 服务中的某个环境发生的一个变化。事件会尽最大努力发出。检测到规则中指定的事件类型后，EventBridge 将其路由到指定的目标进行处理。目标可以包括 Amazon Elastic Compute Cloud (Amazon EC2) 实例、AWS Lambda 函数、Amazon Kinesis streams、Amazon Elastic Container Service (Amazon ECS) 任务、AWS Step Functions 状态计算机、Amazon Simple Notification Service (Amazon SNS) 主题、Amazon Simple Queue Service (Amazon SQS) 队列、内置目标等。

有关创建 EventBridge 规则的信息，请参阅以下主题：
+ [使用 Amazon EventBridge 监控 Systems Manager 事件](monitoring-eventbridge-events.md)
+ [适用于 Systems Manager 的 Amazon EventBridge 事件示例](monitoring-systems-manager-event-examples.md)
+ *Amazon EventBridge 用户指南*中的[ Amazon EventBridge 入门](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-get-started.html)

本主题的其余部分介绍了可以包含在 EventBridge 规则中的 Systems Manager 事件类型。

 

## 事件类型：自动化
<a name="event-type-automation"></a>


****  

| 事件类型名称  | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| EC2 自动化执行状态更改通知 | 自动化工作流的总体状态将发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 
| EC2 自动化步骤状态更改通知 | 自动化工作流中特定步骤的状态将发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 

## 事件类型：Change Calendar
<a name="event-type-change-calendar"></a>


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| 日历状态更改 | Change Calendar 的状态更改。您可以向事件规则添加下列一个或两个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) 目前不支持从其他 AWS 账户 日历的状态更改。  | 

## 事件类型：Change Manager
<a name="event-type-change-manager"></a>

**Change Manager 可用性变更**  
自 2025 年 11 月 7 日起，AWS Systems Manager Change Manager 将不再向新客户开放。如果想要使用 Change Manager，请在该日期之前注册。现有客户可以继续正常使用该服务。有关更多信息，请参阅 [AWS Systems Manager Change Manager 可用性变更](https://docs.aws.amazon.com/systems-manager/latest/userguide/change-manager-availability-change.html)。


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| 更改请求状态更新 | Change Manager 更改请求的状态。您可以在事件规则中使用以下状态：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html)  | 

## 事件类型：配置合规性
<a name="event-type-configuration-compliance"></a>


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| 配置合规性状态更改 | 托管式节点的状态针对关联合规性或补丁合规性发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 

## 事件类型：库存
<a name="event-type-inventory"></a>


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| 库存资源状态更改 | 删除自定义清单和使用旧架构版本的 [PutInventory](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PutInventory.html) 调用。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) 有关更多信息，请参阅 [使用 EventBridge 监控 Inventory 事件](systems-manager-inventory-setting-up-eventbridge.md)。  | 

## 事件类型：维护窗口
<a name="event-type-maintenance-window"></a>


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| 维护时间段状态更改通知 | 一个或多个维护时段的总体状态发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 
| 维护窗口目标登记通知 | 一个或多个维护窗口目标的状态发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 
| 维护时段执行状态更改通知 | 维护窗口在运行时的整体状态会发生变化。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 
| 维护窗口任务执行状态更改通知 | 维护窗口中任务的状态在运行时发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 
| 维护窗口任务目标调用状态更改通知 |  特定目标上的维护窗口任务的状态发生更改。 只有 Run Command 任务才支持此通知。对于此类型的任务，您可以向事件规则添加下列一个或多个状态更改： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) 对于自动化、AWS Lambda 和 AWS Step Functions 任务，EventBridge 仅报告状态 `IN_PROGRESS` 和 `COMPLETE`。无论任务成功与否，都会报告 `COMPLETE`。  | 
| 维护窗口任务登记通知 | 一个或多个维护时段任务的状态发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 

## 事件类型：OpsCenter
<a name="event-type-OpsCenter"></a>


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| OpsItem 创建 | 在创建 OpsItem 时发生。您可以为以下 OpsItem 类型之一添加规则：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 
| OpsItem 更新 | 更新 OpsItem 时发生。您可以为以下 OpsItem 类型之一添加规则：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 

## 事件类型：Parameter Store
<a name="event-type-parameter-store"></a>


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| 参数存储更改 | 参数的状态发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html)有关更多信息，请参阅 [为参数和参数策略配置 Eventbridge 规则](sysman-paramstore-cwe.md#cwe-parameter-changes)。 | 
| 参数存储策略操作 | 满足高级参数策略更改的条件。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html)有关更多信息，请参阅 [为参数和参数策略配置 Eventbridge 规则](sysman-paramstore-cwe.md#cwe-parameter-changes)。 | 

## 事件类型：Run Command
<a name="event-type-run-command"></a>


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| EC2 命令调用状态更改通知 | 发送到单个托管实例的命令的状态发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 
| EC2 命令状态更改通知  | 命令的总体状态将发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 

## 事件类型：State Manager
<a name="event-type-state-manager"></a>


****  

| 事件类型名称 | 可以添加到规则中的事件的描述 | 
| --- | --- | 
| EC2 State Manager 关联状态更改 | 关联的总体状态随着应用而发生变化。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 
| EC2 State Manager 实例关联状态更改 | 关联所针对单个托管实例的状态发生更改。您可以向事件规则添加下列一个或多个状态更改：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-eventbridge-events.html) | 

# 参考：适用于 Systems Manager 的 Cron 和 Rate 表达式
<a name="reference-cron-and-rate-expressions"></a>

在 AWS Systems Manager 中创建 State Manager 关联或维护时段时，您需要指定一个说明该时段或关联应在何时运行的计划。您能够以基于时间的条目（称为 *cron 表达式*）或基于频率的条目（称为 *rate 表达式*）的形式指定计划。

## 有关 Cron 和 Rate 表达式的一般信息
<a name="reference-cron-and-rate-expressions-intro"></a>

以下信息适用于维护时段和关联的 cron 和 rate 表达式。

**单次运行计划**  
当您创建关联或维护时段时，可以按协调世界时 (UTC) 格式指定时间戳，使其在指定的时间运行一次。例如：`"at(2020-07-07T15:55:00)"`

**计划偏移天数**  
关联和维护时段仅支持 cron 表达式的*计划偏移天数*。计划偏移是在运行关联或维护时段之前但在 cron 表达式指定的日期和时间之后等待的天数。  
在以下命令中，cron 表达式将维护时段计划在每月第三个星期二的晚上 11:30 运行。但是，由于计划偏移为 `2`，因此维护时段将在两天后的晚上 11:30 才运行。  

```
aws ssm create-maintenance-window \
    --name "My-Cron-Offset-Maintenance-Window" \
    --allow-unassociated-targets \
    --schedule "cron(30 23 ? * TUE#3 *)" \
    --duration 4 \
    --cutoff 1 \
    --schedule-offset 2
```
在以下命令中，cron 表达式将关联计划在每个月的第二个星期四运行。但是，由于计划偏移量为 `3`，因此该关联将在三天后的下周日才会运行。  

```
aws ssm create-association \
    --name "AWS-UpdateSSMAgent" \
    --targets "Key=instanceids,Values=i-0cb2b964d3e14fd9f" \
    --schedule-expression "cron(0 0 ? * THU#2 *)"  \
    --schedule-offset 3
    --apply-only-at-cron-interval
```
要将偏移与关联一起使用，必须指定 `--apply-only-at-cron-interval` 选项。此选项将告知系统不要在创建关联后立即运行该关联。
如果您使用 cron 表达式创建一个关联或维护时段，该维护时段指向当前期间中已经过去的一天，但添加了一个将来的计划偏移日期，则关联或维护时段将不会在此期间内运行。它将在下一个期间生效。例如，如果您指定了一个 cron 表达式（它应在昨天运行维护时段）并添加两天的计划偏移，则该维护时段明天不会运行。

**必填字段**  
维护时段的 Cron 表达式有六个必填字段。关联的 Cron 表达式有五个必填字段。（State Manager 目前不支持在关联的 cron 表达式中指定月数。） 另一个字段 `Seconds`（cron 表达式中的第一个字段）是可选的。这些字段用空格分隔。    
**Cron 表达式示例**    
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-cron-and-rate-expressions.html)
仅限维护时段支持星期几范围（例如 `MON-FRI`）和逗号分隔的日期列表（例如 `MON,TUE,WED`）。对于关联，您必须指定一天（例如 `MON`）或使用 `*` 表示每一天。

**支持的值**  
下表列出了必需的 cron 条目支持的值。    
**Cron 表达式支持的值**    
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-cron-and-rate-expressions.html)
您不能在同一 cron 表达式中的 day-of-month（日期）和 day-of-week（星期几）字段中指定值。如果您在其中一个字段中指定了值，则必须在另一个字段中使用 ?（问号）。

**Cron 表达式的通配符**  
下表列出了 cron 表达式支持的通配符值。  
不支持产生的速率快于五 (5) 分钟的 cron 表达式。对同时指定星期几值和日期值的支持不完整。在其中一个字段中使用问号 (?) 字符。  
**Cron 表达式支持的通配符**    
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-cron-and-rate-expressions.html)

**Rate 表达式**  
Rate 表达式有以下两个必需字段。这些字段采用空格分隔。    
**Rate 表达式的必需字段**    
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/systems-manager/latest/userguide/reference-cron-and-rate-expressions.html)
如果值等于 `1`，则单位必须为单数。同样，对于大于 `1` 的值，单位必须为复数。例如，`rate(1 hours)` 和 `rate(5 hour)` 无效，而 `rate(1 hour)` 和 `rate(5 hours)` 有效。

**Topics**
+ [有关 Cron 和 Rate 表达式的一般信息](#reference-cron-and-rate-expressions-intro)
+ [适用于关联的 Cron 和 Rate 表达式](#reference-cron-and-rate-expressions-association)
+ [适用于维护时段的 Cron 和 Rate 表达式](#reference-cron-and-rate-expressions-maintenance-window)

## 适用于关联的 Cron 和 Rate 表达式
<a name="reference-cron-and-rate-expressions-association"></a>

此部分包括适用于 State Manager 关联的 cron 和 rate 表达式的示例。在您创建这些表达式之前，请注意以下信息：
+ 关联支持以下 cron 表达式：每 1/2、1、2、4、8 或 12 个小时；每天、每周、每周的特定日期和时间；某月中特定某周的特定日期，或某月最后 `x` 天的特定时间。
+ 关联支持以下 rate 表达式：30 分钟的时间间隔或大于和小于 31 天。
+ 如果指定可选的 `Seconds` 字段，其值可以为 0（零）。例如：`cron(0 */30 * * * ? *)`
+ 对于收集 Inventory（AWS Systems Manager 中的一项工具）元数据的关联，建议使用 Rate 表达式。
+ State Manager 目前不支持在 cron 表达式中为关联指定月数。

关联支持 cron 表达式，其中包括一周中的某一天，数字符号 (\$1) 用于指定一个月的第 *n* 天来运行关联。以下是一个在每月的第三个星期二 23:30 UTC 运行 cron 计划的示例：

`cron(30 23 ? * TUE#3 *)`

以下是一个在每月的第二个星期四在 UTC 午夜运行的示例：

`cron(0 0 ? * THU#2 *)`

关联还支持 (L) 符号来表示一个月的最后一个 *X* 天。以下是一个在每月的最后一个星期二 UTC 午夜运行 cron 计划的示例：

`cron(0 0 ? * 3L *)`

要进一步控制关联运行的时间，例如，如果您想在星期二补丁后两天运行关联，可以指定偏移量。*偏移量*定义了在计划日期之后等待多少天再运行关联。例如，如果指定的 cron 计划为 `cron(0 0 ? * THU#2 *)`，则可以在 **Schedule offset**（计划偏移量）字段中指定数字 3，以便在每月的第二个星期四之后的每个星期天运行关联。

要使用偏移量，必须在控制台中选择 **Apply association only at the next specified Cron interval**（仅在下一个指定的 Cron 周期应用关联）选项，或者必须从命令行指定使用 `--apply-only-at-cron-interval` 参数。此选项将告知 State Manager 不要在创建关联后立即运行关联。

下表提供了适用于关联的 cron 示例。


**适用于关联的 Cron 示例**  

| 示例 | Details | 
| --- | --- | 
|  cron(0/30 \$1 \$1 \$1 ? \$1)  |  每 30 分钟  | 
|  cron(0 0/1 \$1 \$1 ? \$1)  |  每小时  | 
|  cron(0 0/2 \$1 \$1 ? \$1)  |  每 2 小时  | 
|  cron(0 0/4 \$1 \$1 ? \$1)  |  每 4 小时  | 
|  cron(0 0/8 \$1 \$1 ? \$1)  |  每 8 小时  | 
|  cron(0 0/12 \$1 \$1 ? \$1)  |  每 12 小时  | 
|  cron(15 13 ? \$1 \$1 \$1)  |  每天下午 1:15  | 
|  cron(15 13 ? \$1 MON \$1)  |  每星期一下午 1:15  | 
|  cron(30 23 ? \$1 TUE\$13 \$1)  |  每月第三个星期二晚上 11:30  | 

以下是一些适用于关联的 rate 示例。


**适用于关联的 Rate 示例**  

| 示例 | Details | 
| --- | --- | 
|  rate(30 minutes)  |  每 30 分钟  | 
|  rate(1 hour)  |  每小时  | 
|  rate(5 hours)  |  每 5 小时  | 
|  rate(15 days)  |  每 15 天  | 

****适用于关联的 AWS CLI 示例****  
要使用 AWS CLI 创建State Manager关联，您可以使用 cron 或 rate 表达式包含 `--schedule-expression` 参数。以下是在本地 Linux 计算机上使用 AWS CLI 的示例。

**注意**  
默认情况下，创建新关联时，系统会在创建关联后立即运行它，然后根据您指定的计划运行它。指定 `--apply-only-at-cron-interval`，这样便不会在创建关联后立即运行它。Rate 表达式不支持此参数。

```
aws ssm create-association \
    --association-name "My-Cron-Association" \
    --schedule-expression "cron(0 2 ? * SUN *)" \
    --targets Key=tag:ServerRole,Values=WebServer \
    --name AWS-UpdateSSMAgent
```

```
aws ssm create-association \
    --association-name "My-Rate-Association" \
    --schedule-expression "rate(7 days)" \
    --targets Key=tag:ServerRole,Values=WebServer \
    --name AWS-UpdateSSMAgent
```

```
aws ssm create-association \
    --association-name "My-Rate-Association" \
    --schedule-expression "at(2020-07-07T15:55:00)" \
    --targets Key=tag:ServerRole,Values=WebServer \
    --name AWS-UpdateSSMAgent \
    --apply-only-at-cron-interval
```

## 适用于维护时段的 Cron 和 Rate 表达式
<a name="reference-cron-and-rate-expressions-maintenance-window"></a>

本节包括适用于维护时段的 cron 和 rate 表达式的示例。

与 State Manager 关联不同，维护时段支持所有 cron 和 rate 表达式。这包括支持秒数字段中的值。

例如，下面的 6 字段 cron 表达式在每天上午 9:30 运行维护时段。

```
cron(30 09 ? * * *)
```

通过向 `Seconds` 字段添加一个值，下面的 7 字段 cron 表达式在每天上午 9:30:24 运行维护时段。

```
cron(24 30 09 ? * * *)
```

下表提供更多适用于维护时段的 6 字段 cron 示例。


**维护时段的 Cron 示例**  

| 示例 | Details | 
| --- | --- | 
|  cron(0 2 ? \$1 THU\$13 \$1)  |  每月第三个星期四凌晨 2:00  | 
|  cron(15 10 ? \$1 \$1 \$1)  |  每天上午 10:15  | 
|  cron(15 10 ? \$1 MON-FRI \$1)  |  星期一到星期五每天上午 10:15  | 
|  cron(0 2 L \$1 ? \$1)  |  每月最后一天凌晨 2:00  | 
|  cron(15 10 ? \$1 6L \$1)  |  每月最后一个星期五上午 10:15  | 

下表提供维护时段的 rate 示例。


**维护时段的 Rate 示例**  

| 示例 | Details | 
| --- | --- | 
|  rate(30 minutes)  |  每 30 分钟  | 
|  rate(1 hour)  |  每小时  | 
|  rate(5 hours)  |  每 5 小时  | 
|  rate(25 days)  |  每 25 天  | 

****适用于维护时段的 AWS CLI 示例****  
要使用 AWS CLI 创建维护时段，您可以使用 cron 或 rate 表达式或者时间戳包含 `--schedule` 参数。以下是在本地 Linux 计算机上使用 AWS CLI 的示例。

```
aws ssm create-maintenance-window \
    --name "My-Cron-Maintenance-Window" \
    --allow-unassociated-targets \
    --schedule "cron(0 16 ? * TUE *)" \
    --schedule-timezone "America/Los_Angeles" \
    --start-date 2021-01-01T00:00:00-08:00 \
    --end-date 2021-06-30T00:00:00-08:00 \
    --duration 4 \
    --cutoff 1
```

```
aws ssm create-maintenance-window \
    --name "My-Rate-Maintenance-Window" \
    --allow-unassociated-targets \
    --schedule "rate(7 days)" \
    --duration 4 \
    --schedule-timezone "America/Los_Angeles" \
    --cutoff 1
```

```
aws ssm create-maintenance-window \
    --name "My-TimeStamp-Maintenance-Window" \
    --allow-unassociated-targets \
    --schedule "at(2021-07-07T13:15:30)" \
    --duration 4 \
    --schedule-timezone "America/Los_Angeles" \
    --cutoff 1
```

**更多信息**  
*维基百科网站*中的 [CRON 表达式](https://en.wikipedia.org/wiki/Cron#CRON_expression)

# 参考：ec2messages、ssmmessages 和其他 API 操作
<a name="systems-manager-setting-up-messageAPIs"></a>

如果您监控 API 操作，可能会看到对以下操作的调用：
+ `ec2messages:AcknowledgeMessage`
+ `ec2messages:DeleteMessage`
+ `ec2messages:FailMessage`
+ `ec2messages:GetEndpoint`
+ `ec2messages:GetMessages`
+ `ec2messages:SendReply`
+ `ssmmessages:CreateControlChannel`
+ `ssmmessages:CreateDataChannel`
+ `ssmmessages:OpenControlChannel`
+ `ssmmessages:OpenDataChannel`
+ `ssm:DescribeDocumentParameters`
+ `ssm:DescribeInstanceProperties`
+ `ssm:GetCalendar`
+ `ssm:GetManifest`
+ `ssm:ListInstanceAssociations`
+ `ssm:PutCalendar`
+ `ssm:PutConfigurePackageResult`
+ `ssm:RegisterManagedInstance`
+ `ssm:RequestManagedInstanceRoleToken`
+ `ssm:UpdateInstanceAssociationStatus`
+ `ssm:UpdateInstanceInformation`
+ `ssm:UpdateManagedInstancePublicKey`

这些是 AWS Systems Manager 使用的特殊操作，如本主题的其余部分中所述。

## 与代理相关的 API 操作（`ssmmessages` 和 `ec2messages` 端点）
<a name="message-services"></a>

**ssmmessages API 操作**  
Systems Manager 使用 `ssmmessages` 端点进行以下类型的 API 操作：
+ 从 Systems Manager 代理（SSM Agent）到云中 Systems Manager 服务的操作。
+ 云中从 SSM Agent 到Session Manager（AWS Systems Manager 中的一项工具）的操作。使用云中的Session Manager服务创建和删除会话通道需要此终端节点。此外，如果允许连接，则 SSM Agent 通过此 Amazon Message Gateway Service 接收 `Command` 文档。如果不允许连接，则 SSM Agent 通过 Amazon Message Delivery Service 接收 `Command` 文档。有关更多信息，请参阅 [Amazon Message Gateway Service的操作、资源和条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmessagegatewayservice.html)。
**注意**  
如果从附加到 IAM 实例配置文件或 IAM 服务角色的策略中移除 `ssmmessages:OpenControlChannel` 权限，则托管节点上的 SSM Agent 将失去与云端 Systems Manager 服务的连接。但是，移除权限后，连接最多可能需要 1 小时才能终止。这与删除 IAM 实例角色或 IAM 服务角色时的行为相同。  
请注意，`ssmmessages:OpenControlChannel` 权限包含在托管式策略 [AmazonSSMManagedInstanceCore](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonSSMManagedInstanceCore.html) 中，该策略用于为 EC2 实例[创建 IAM 实例配置文件](https://docs.aws.amazon.com/systems-manager/latest/userguide/setup-instance-permissions.html#instance-profile-add-permissions)以及为非 EC2 实例[创建 IAM 服务角色](https://docs.aws.amazon.com/systems-manager/latest/userguide/hybrid-multicloud-service-role.html)的说明中。
+ 操作来自 Run Command。

**ec2messages API 操作**  
对 Amazon Message Delivery Service 端点进行 `ec2messages:*` API 操作。Systems Manager 将此端点用于从 Systems Manager Agent (SSM Agent) 到云中 Systems Manager 服务的 API 操作。

**重要**  
`ec2messages:*` API 操作仅在 2024 年之前推出的 AWS 区域 中受支持。在 2024 年及之后推出的区域中，仅支持 `ssmmessages:*` API 操作。

**端点连接优先级**  
从 SSM Agent 的版本 3.3.40.0 开始，只要可用，Systems Manager 就会使用 `ssmmessages:*` 端点（Amazon Message Gateway Service）而非 `ec2messages:*` 端点（Amazon Message Delivery Service）。

如果在 AWS Identity and Access Management（IAM）权限策略中提供对 `ssmmessages:*` 的访问权限，即便 IAM 实例配置文件配置为允许两个端点，SSM Agent 也会连接到 `ssmmessages:*` 端点。这包括您自己创建的 [IAM 实例配置文件](setup-instance-permissions.md#instance-profile-add-permissions)的策略和 [IAM 服务角色](hybrid-multicloud-service-role.md)的策略，以及由 [Quick Setup 主机管理配置](quick-setup-host-management.md)和[默认主机管理配置](quick-setup-default-host-management-configuration.md)创建的 IAM 实例配置文件的策略。

如果已经为两个端点提供权限，并使用 CloudWatch Metrics 等监控 API 操作，则不会看到对 `ec2messages:*` 的调用。

对于 2024 年之前推出的 AWS 区域：此时，您可以放心地删除策略中的 `ec2messages:*` 权限。

**端点连接失效转移**  
仅适用于 2024 年之前推出的 AWS 区域：如果 IAM 实例配置文件在代理启动时没有为 `ssmmessages:*` 提供权限，而仅为 `ec2messages:*` 提供权限，则 SSM Agent 会连接到 `ec2messages:*` 端点。如果在 SSM Agent 启动时同时拥有 `ssmmessages:*` 和 `ec2messages:*`，但在代理启动后移除了 `ssmmessages:*`，则 SSM Agent 很快就会将连接切换到 `ec2messages:*` 端点。对于 2024 年及之后推出的区域，仅支持 `ssmmessages:*` 端点。

有关 `ssmmessages` 和 `ec2messages:*` 端点的详细信息，请参阅《AWS Service Authorization Reference**》中的以下主题。
+ [Amazon Message Gateway Service 的操作、资源和条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmessagegatewayservice.html) (`ssmmessages`)。
+ [Amazon Message Delivery Service 的操作、资源和条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmessagedeliveryservice.html) (`ec2messages:*`)

## 与 `ssm:*` 命名空间实例相关的 API 操作
<a name="instance-api-ops"></a>

`DescribeDocumentParameters`  
Systems Manager 运行此 API 操作以在 Amazon EC2 控制台中呈现特定节点。`DescribeDocumentParameters` 操作的结果将在文档节点中显示。

`DescribeInstanceProperties`  
Systems Manager 运行此 API 操作以在 Amazon EC2 控制台中呈现特定节点。`DescribeInstanceProperties` 操作的结果将显示在 Fleet Manager 节点中。

`GetCalendar`  
Systems Manager 运行此 API 操作，在 Change Calendar 控制台中呈现 Change Calendar 类型文档。

`GetManifest`  
SSM Agent 运行此 API 操作以确定安装或更新指定版本 [AWS Systems Manager Distributor](distributor.md) 软件包的系统要求。这是旧版 API 操作，在 2017 年之后推出的 AWS 区域 中不可用。

`ListInstanceAssociations`  
SSM Agent 运行此 API 操作以了解新的 State Manager 关联是否可用。State Manager 需要此 API 操作才能正常运行。

`PutCalendar`  
Systems Manager 运行此 API 操作，在 Change Calendar 控制台中更新 Change Calendar 类型文档。

`PutConfigurePackageResult`  
SSM Agent 运行此 API 操作以将公共 Distributor 软件包的安装错误和延迟指标发布到软件包所有者的账户。

`RegisterManagedInstance`  
SSM Agent 对以下场景运行此 API 操作：  
+ 使用激活码和 ID 向 Systems Manager 注册本地服务器或虚拟机（VM）作为托管式实例。
+ 注册 AWS IoT Greengrass Version 2 凭证。
运行 SSM Agent 版本 3.1.x 或更高版本的 Amazon EC2 实例也会调用此操作。

`RequestManagedInstanceRoleToken`  
SSM Agent 运行此 API 操作以检索访问托管式节点的临时凭证。

`UpdateInstanceAssociationStatus`  
SSM Agent 运行此 API 操作以更新关联。State Manager（AWS Systems Manager 中的一项工具）需要此 API 操作才能正常运行。

`UpdateInstanceInformation`  
SSM Agent 每 5 分钟调用一次云中的 Systems Manager 服务，以提供检测信号信息。需要此调用来保持代理的检测信号，以便服务了解代理按照预期工作。

`UpdateManagedInstancePublicKey`  
 在托管式节点上轮换密钥对后，SSM Agent 会运行此 API 操作以提供公有密钥。公有密钥用于对使用私有密钥签名的请求进行身份验证，以从 Systems Manager 获取临时凭证。

## ssm: \$1 命名空间其他 API 操作
<a name="systems-manager-namespace-other-API-operations"></a>

`ExecuteApi`  
在 OpsCenter 中管理 OpsItems 的 Systems Manager 委托管理员需要访问此 API 操作，这样他们才能跨多个 AWS 账户 查看 OpsItems 的相关资源详细信息。具体而言，该 API 赋予委托管理员在 AWS 管理控制台 中查看以下 OpsItem 详细信息的权限：OpsItem 描述、标签、CloudFormation 模板、AWS Config 更改、CloudWatch 日志警报和 AWS CloudTrail 事件。有关跨账户使用 OpsItems 的更多信息，请参阅 [（可选）将 OpsCenter 手动设置为跨账户集中管理 OpsItems](OpsCenter-getting-started-multiple-accounts.md)。有关 OpsItems 相关资源详情的更多信息，请参阅 [将相关资源添加到 OpsItem](OpsCenter-working-with-OpsItems-adding-related-resources.md)。

# 参考：Systems Manager 的日期和时间字符串格式
<a name="systems-manager-datetime-strings"></a>

AWS Systems Manager API 操作接受使用筛选条件来限制请求所返回的结果数量。其中一些 API 操作接受要求使用格式化字符串来表示特定日期和时间的筛选条件。例如，`DescribeSessions` API 操作接受 `InvokedAfter` 和 `InvokedBefore` 键作为 `SessionFilter` 对象的一些有效值。再举个例子，`DescribeAutomationExecutions` API 操作接受 `StartTimeBefore` 和 `StartTimeAfter` 键作为 `AutomationExecutionFilter` 对象的一些有效值。您在筛选请求时为这些键提供的值必须符合 ISO 8601 标准。有关 ISO 8601 的信息，请参阅 [ISO 8601](https://www.iso.org/iso-8601-date-and-time-format.html)。

这些格式化的日期和时间字符串不限于筛选条件。在为请求参数提供值时，还有一些 API 操作要求使用 ISO 8601 格式化的字符串来表示特定的日期和时间。例如，`GetCalendarState` 操作的 `AtTime` 请求参数。这些字符串很难创建。使用本主题中的示例创建要用于 Systems Manager API 操作的格式化日期和时间字符串。

## Systems Manager 的格式化日期和时间字符串
<a name="systems-manager-datetime-strings-format"></a>

以下是 ISO 8601 格式化的日期和时间字符串的示例。

```
2024-05-08T15:16:43Z
```

这表示 2024 年 5 月 8 日 15 时 16 分（协调世界时（UTC））。字符串的日历日期部分由四位数年份、两位数月份和两位数日期表示（以连字符分隔）。这可以用以下格式表示。

```
YYYY-MM-DD
```

字符串的时间部分以字母“T”作为分隔符开头，然后用两位数小时、两位数分钟和两位数秒数表示（以冒号分隔）。这可以用以下格式表示。

```
hh:mm:ss
```

字符串的时间部分以字母“Z”结尾，表示 UTC 标准。

## 为 Systems Manager 创建自定义日期和时间字符串
<a name="systems-manager-datetime-strings-custom"></a>

您可以使用首选的命令行工具从本地计算机创建自定义日期和时间字符串。用于创建 ISO 8601 格式化的日期和时间字符串的语法因本地计算机的操作系统而异。以下示例说明如何从 Linux 上的 GNU coreutils（或 Windows 上的 PowerShell）使用 `date` 创建 ISO 8601 格式化的日期和时间字符串。

------
#### [ coreutils ]

```
date '+%Y-%m-%dT%H:%M:%SZ'
```

------
#### [ PowerShell ]

```
(Get-Date).ToString("yyyy-MM-ddTH:mm:ssZ")
```

------

使用 Systems Manager API 操作时，您可能需要创建历史日期和时间字符串，以进行报告或故障排除。以下是如何为 AWS Tools for PowerShell 和 AWS Command Line Interface (AWS CLI) 创建并使用自定义历史 ISO 8601 格式化的日期和时间字符串的示例。

------
#### [ AWS CLI ]
+ 检索 SSM 文档的最后一周命令历史记录。

  ```
  lastWeekStamp=$(date '+%Y-%m-%dT%H:%M:%SZ' -d '7 days ago')
  
  docFilter='{"key":"DocumentName","value":"AWS-RunPatchBaseline"}'
  timeFilter='{"key":"InvokedAfter","value":'\"$lastWeekStamp\"'}'
  
  commandFilters=[$docFilter,$timeFilter]
  
  aws ssm list-commands \
      --filters $commandFilters
  ```
+ 检索最后一周的自动化执行历史记录。

  ```
  lastWeekStamp=$(date '+%Y-%m-%dT%H:%M:%SZ' -d '7 days ago')
  
  aws ssm describe-automation-executions \
      --filters Key=StartTimeAfter,Values=$lastWeekStamp
  ```
+ 检索最后一个月的会话历史记录。

  ```
  lastWeekStamp=$(date '+%Y-%m-%dT%H:%M:%SZ' -d '30 days ago')
  
  aws ssm describe-sessions \
      --state History \
      --filters key=InvokedAfter,value=$lastWeekStamp
  ```

------
#### [ AWS Tools for PowerShell ]
+ 检索 SSM 文档的最后一周命令历史记录。

  ```
  $lastWeekStamp = (Get-Date).AddDays(-7).ToString("yyyy-MM-ddTH:mm:ssZ")
  
  $docFilter = @{
      Key="DocumentName"
      Value="AWS-InstallWindowsUpdates"
  }
  $timeFilter = @{
      Key="InvokedAfter"
      Value=$lastWeekStamp
  }
  
  $commandFilters = $docFilter,$timeFilter
  
  Get-SSMCommand `
      -Filters $commandFilters
  ```
+ 检索最后一周的自动化执行历史记录。

  ```
  $lastWeekStamp = (Get-Date).AddDays(-7).ToString("yyyy-MM-ddTH:mm:ssZ")
  
  Get-SSMAutomationExecutionList `
      -Filters @{Key="StartTimeAfter";Values=$lastWeekStamp}
  ```
+ 检索最后一个月的会话历史记录。

  ```
  $lastWeekStamp = (Get-Date).AddDays(-30).ToString("yyyy-MM-ddTH:mm:ssZ")
  
  Get-SSMSession `
      -State History `
      -Filters @{Key="InvokedAfter";Value=$lastWeekStamp}
  ```

------