SSM 文档不使用角色修改卷

Question

我正在尝试使用 SSM 修改 EC2 实例上的现有卷。我附加了一个带有允许修改 EC2 实例上的卷的策略的角色。我在策略中选择的权限称为 ModifyVolume。当我尝试运行我的脚本时，它给了我以下消息：

调用 ModifyVolume 操作时发生错误（UnauthorizedOperation）：您无权执行此操作。

我确信我使用的策略授予我此权限，所以我想知道为什么它不起作用？

这是我的 SSM 文档：

---
schemaVersion: "2.2"
assumeRole: "{{AutomationAssumeRole}}"
description: "Resizes the specified EBS volume to the target size"
parameters:
  AutomationAssumeRole:
    type: "String"
    description: "The ARN of the role that allows Automation to perform the actions on your behalf."
    default: "arn:aws:iam::accountnumber:role/SSMUpdateVolume"
  VolumeId:
    type: "String"
    description: "(Required) EBS volume ID"
  Size:
    type: "String"
    description: "(Required) Target size for the selected volume in GB"
mainSteps:
- action: "aws:runShellScript"
  name: "ModifyVolumeSize"
  inputs:
    runCommand:
    - "export AWS_DEFAULT_REGION=eu-central-1"
    - "aws ec2 modify-volume --size {{Size}} --volume-id {{VolumeId}}"

这是我下面需要的角色：

我注意到，当我将权限直接分配给分配给实例本身的角色时，它会起作用。但是，我只想在使用 SSM 文档时暂时允许此权限。因此，这意味着 SSM 文档不会应用此权限，而是使用实例本身上缺少此 ModifyVolume 权限的那个权限。我该如何解决这个问题？

我认为这可能是因为我正在使用 aws:runShellScript 命令，所以它根本不应用角色而只是调用实例上的脚本？这可能是原因吗？如果是这种情况，我需要做什么才能完成这项工作？

Answer 1

我花了一些时间来解决这个问题，但我想我已经有了答案：

AWS Systems Manager 文档的工作方式如下：

他们有行动（例如aws:runShellScript、aws:createStack等）

这些操作使用默认的SSM 服务角色，或通过assumeRole 注入的角色。

这意味着在您的示例中，action aws:runShellScript 是使用 role SSMUpdateVolume 执行的。

但是，shell 脚本中的各个命令是使用 EC2 实例上的本地权限运行的，即附加到实例配置文件的角色，它没有所需的权限。

所以，这不起作用是有道理的。

要实现您想要的效果，您可以使用 aws:executeAwsApi 操作来修改音量，而不是执行 shell 命令。

请注意：您正在使用命令类型的文档。为此，您需要创建一个Automation 类型的文档。为此，请在 AWS Systems Manager 文档控制台中选择创建自动化而不是创建命令或会话。

最终文档可能类似于以下内容：

description: Resizes the specified EBS volume to the target size
schemaVersion: '0.3'
assumeRole: '{{ AutomationAssumeRole }}'
parameters:
  AutomationAssumeRole:
    type: String
    default: 'arn:aws:iam::accountnumber:role/SSMUpdateVolume'
    description: The ARN of the role that allows Automation to perform the actions on your behalf.
  VolumeId:
    type: String
    description: (Required) EBS volume ID
  Size:
    type: String
    description: (Required) Target size for the selected volume in GB
mainSteps:
  - name: ModifyVolumeSize
    action: 'aws:executeAwsApi'
    inputs:
      Service: ec2
      Api: ModifyVolume
      Size: '{{ Size }}'
      VolumeId: '{{ VolumeId }}'