AWS Systems Manager (SSM) 无法更新 SageMaker 实例上的InstanceInformation答案

【问题标题】：AWS Systems Manager (SSM) fails to UpdateInstanceInformation on SageMaker instanceAWS Systems Manager (SSM) 无法更新 SageMaker 实例上的InstanceInformation
【发布时间】：2020-09-04 19:09:54
【问题描述】：

我经常收到 Cloudwatch 授权警报，因为附加到我的 SageMaker 实例的角色似乎没有足够的 SSM（系统管理员）权限来UpdateInstanceInformation。我的理解是代理 amazon-ssm-agent 想要访问 AWS API 但没有这样做。

我的角色拥有完整的 SSM 权限：

{
        "Action": [
            "ssm:*",
            "ssmmessages:*"
        ],
        "Resource": "*",
        "Effect": "Allow"
}

但错误仍然存在：

 {
   "eventVersion": "1.05",
   "userIdentity": {
      "type": "AssumedRole",
      "principalId": "XXXXXXXXXXXXX:SageMaker",
      "arn": "arn:aws:sts::XXXXXXXXXXXXX:assumed-role/sagemaker_prod_Notebook_Instance_Role/SageMaker",
      "sessionContext": {
          "sessionIssuer": {
              "type": "Role",
              "principalId": "XXXXXXXXXXXXX",
              "arn": "arn:aws:iam::XXXXXXXXXXXXX:role/sagemaker_prod_Notebook_Instance_Role",
              "accountId": "XXXXXXXXXXXXX",
              "userName": "sagemaker_prod_Notebook_Instance_Role"
          }
      },
      "invokedBy": "im.amazonaws.com"
   },
   "eventSource": "ssm.amazonaws.com",
   "eventName": "UpdateInstanceInformation",
   "sourceIPAddress": "im.amazonaws.com",
   "userAgent": "im.amazonaws.com",
   "errorCode": "AccessDenied",
   "errorMessage": "An unknown error occurred",
   "requestParameters": {
       "instanceId": "i-045f627a2d2e469b1",
       "agentVersion": "2.3.714.0",
       "platformType": "Linux",
       "agentName": "amazon-ssm-agent"
   },
   "eventType": "AwsApiCall"
}

有人见过吗？

【问题讨论】：

AWS 为 ssm 提供管理策略，例如AmazonSSMManagedInstanceCore?你试过这些吗？

标签： amazon-web-services amazon-iam amazon-sagemaker

【解决方案1】：

这有点晚了，但我遇到了类似的问题，所以我联系了 AWS Support，这似乎是一个错误。

有人告诉我，AWS Sagemaker 团队默认安装了 ssm。 Sagemaker 笔记本在 aws 服务帐户中运行，但当客户在自己的帐户中分配 Sagemaker 角色时，该角色无法通过客户分配的角色执行 UpdateInstance 信息。

支持建议我创建一个生命周期配置并利用以下代码示例来修复它： https://docs.aws.amazon.com/sagemaker/latest/dg/notebook-lifecycle-config.html https://github.com/aws-samples/amazon-sagemaker-notebook-instance-lifecycle-config-samples/blob/master/scripts/disable-uninstall-ssm-agent/on-start.sh

【讨论】：