AWS 有一个名为 AWS Systems Manager 的服务，我们可以使用 SSH 隧道通过它访问 VPC 中的私有资源。这使得从本地使用 RDS 数据库访问 RDS 数据库变得非常容易，而无需担心 SSH 凭据。

最近我在 Azure 上工作，需要从本地机器建立到私有数据库的隧道。我想知道 Azure 中是否有任何类似的服务可以帮助解决这个问题？

我正在尝试从 cloudwatch VPN 和 DX 指标获取图表到本地仪表板。AWS 中是否有任何云原生服务可以做到这一点，或者是否有办法通过电子邮件/实时仪表板自动将 VPN 和 DX 的 Cloudwatch Metrics 数据以 png 格式导出给某人？

注意：由于 AWS Cloudwatch 仪表板支持 2 因素身份验证系统，因此我无法使用 selenium 自动执行这些网络指标。

我想将 AWS System Managers Store Parameters 与我的 CodeDeploy 管道一起使用，从而放弃我在 Lightsail 上的最后一次提交。

✅ 1. 我创建了一个 SSM 参数：MySecureString.

参数设置为启用SecureStringKMS 加密设置Actual account为alias/aws/ssmID。

我SecureString的设置为：postgres://user:password@endpoint.rds.amazonaws.com:5432/myDatabase

✅ 2. 我创建了 CodeDeploy 实例使用的 IAM 策略

前往 IAM 并创建了一个附加到的 JSON 策略MySpecificCodeDeployUser：

✅ 3. 测试MySpecificFCodeDeployUser访问 SSM MySecureString：

键入aws configure以登录MySpecificFCodeDeployUser并尝试在我的本地计算机上运行此命令：

请注意，删除 IAM 策略会给我一个未经授权的请求，因此 IAM 策略是正确的。

4. 添加MySecureString到 CodeDeploy 执行的脚本中：

编辑我的AfterInstall脚本appspec.yml以添加：

FAILED Build给了我一个stderr：

我看到 Lightsail 实例AWSServiceRoleForLightsail从https://lightsail.aws.amazon.com/ls/docs/en_us/articles/amazon-lightsail-using-service-linked-roles的服务相关角色继承。

有没有办法向我的 lightsail 实例添加新策略，因为它似乎不是 CodeDeploy 用户需要它？

我的目标是部署 CfnPatchBaseline，它使用 CDK 和 TypeScript 在 Windows Server 上指定 SQL 的批准规则。

我已经使用 CDK 为 Windows 服务器实例成功创建了 CfnPatchBaseline。这意味着我能够控制操作系统层的更新。

现在我也想控制应用层的更新。

在 AWS 控制台（浏览器界面）中，我可以在补丁基准中为 Microsoft 应用程序指定批准规则，它工作得很好。问题是我不知道如何在 CDK 中复制同样的东西。

我试图以PRODUCT_FAMILY作为键和SQL Server作为值来创建新的 patchFilter

但我收到以下错误：“无效的筛选值：用于键的 SQL Server：PRODUCT_FAMILY，有效值为：WINDOWS”。

我用于创建 Windows Server 补丁基准的代码。

我的批准规则的 AWS 控制台屏幕截图，我可以使用 CDK 创建，以及Microsoft 应用程序的批准规则，我无法使用 CDK 创建。屏幕截图中的规则是从控制台手动创建的。

这个线程是这个线程的后续 - AWS CDK PatchBaseline - TypeScript

我正在使用 AWS CDK、库 @aws-cdk/aws-ssm 和 TypeScript 来创建 CfnMaintenanceWindowTask。我正在使用来自AWS 文档的 cfn示例代码，例如“使用维护窗口目标 ID 创建以实例为目标的运行命令任务”。我尝试转换为 CDK 的 JSON cfn 代码示例。

在 CfnMaintenanceWindowTask 对象中，我想使用下面的 TypeScript 代码 定义属性taskInvocationParameters 。问题是我不允许这样做，因为属性 taskInvocationParameters 出现以下错误：

" TS2322: 类型 '{ maintenanceWindowRunCommandParameters: { 参数: { 操作: string[]; BaselineTags: { key: string; values: string[]; }[]; RebootOption: string[]; }[]; }[]; } ' 不可分配给类型 'IResolvable | TaskInvocationParametersProperty | undefined'。 ”

我的实现可能是错误的，但我无法看到问题可能出在哪里。

更新

我已经实现了来自@Hcaertnit 的代码。部署后，我收到以下错误。

失败的资源：10:42:06 | CREATE_FAILED | AWS::SSM::MaintenanceWindowTask | Maintenance-task-Windows-CDK (MaintenancetaskWindowsCDK) 无法java.lang.String在 [Source: UNKNOWN; 处反序列化超出 START_OBJECT 令牌的实例；行：-1，列：-1]（通过引用链：com.amazonaws.services.ssm.model.RegisterTaskWithMaintenanceWindowRequest["TaskInvocationParameters"]->com.amazonaws.services.ssm.model.MaintenanceWindowTaskInvoc ationParameters["MaintenanceWindowRunCommandParameters"] ->com.amazonaws.services.ssm.model.MaintenanceWindowRunCommandParameters["Parameters"]->java.util.LinkedHashMap["BaselineTags"]->java.util.ArrayList[0])

我使用云形成创建了一个自动化文档来更新live给定函数的别名。它运行正常，没有任何错误，我没有看到任何云迹。但是当我检查设置为哪个版本时，alias:live它保持不变。

模板.yml

更新

看起来没有找到目标来运行脚本

我正在使用 AWS Systems Manager 管理一些本地 [混合激活] 服务器。当服务器向 SSM 注册并加入队列时，我希望采取一些措施（添加标签、运行 SSM 文档等......）。但是当发生这种情况时，我找不到关于 SSM 生成的任何事件的任何文档。不确定“协会状态变更”是否符合要求。

注册 Amazon SSM 代理时，它注册成功，当我尝试在 aws cli 中从 ssm-bastion 向 ssm-agent 发送命令时，我的状态会像 "StatusDetails": "InProgress" 一段时间，然后转到 Deliverytimeout .

我检查了 ssm agent 中的错误日志，它显示 failed to start message bus 。

对这些有什么想法吗？

我正在使用 AWS Systems Manager 重新启动 EC2 实例。当我设置文档（用于自动化执行）并尝试执行 POST API 调用时

https://ssm.us-east-1.amazonaws.com?Action=StartAutomationExecution

标题类似于https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_StartAutomationExecution.html#API_StartAutomationExecution_Examples

和一个身体

我得到错误，

我在 API 请求的正文中给出了我的 documentName 和实例 ID。不知道为什么这个错误不断出现。

有什么建议么 ？谢谢 ！

我需要一些与创建 AWS 策略相关的帮助。

我需要一个链接到 EC2 实例的策略，以便能够仅将 a 提供给get-parameters-by-pathAWS SSM 参数存储中的特定参数，而不能更改 、 等任何内容Delete，Create并且应该只能获取这些值。

此策略特异性将通过标签给出。

这是我正在尝试使用的政策：

使用AWS 策略模拟器，它会通知您，当尝试View, Create,时Modify，会通知Delete带有拒绝消息的参数"ssm:resourceTag/env": "development-2"，而其他项目"ssm:resourceTag/env": "development-1"可以修改、查看等。

但是，当将同一策略绑定到 EC2 实例时，该策略会阻止在拒绝中添加的任何操作。

EC2 通知消息：

/development-1/project-1

/development-2/project-2

使用的标签：

键=值

/development-1/project-1：

环境=发展-1

/development-2/project-2：

环境=发展-2

我究竟做错了什么？