AWS SSM Automationの実行に必要なIAMポリシー句が変わっている

はじめに

SSM Automationの実行に必要な権限が変わっているようなので紹介します

背景

いつものようにSSM Runbookを使っていると、権限エラーが発生し実行に失敗しました

そんな時Healthイベントを見ると2026年1月に下記のような通知が来ていることがわかり、その詳細を調査しました

仕様変更

どうやらSSM Automationの実行に必要な権限のResource句が変更になったようです。

これまでは下記の権限をSSM Automation実行用のIAMポリシーに付与すれば実行できました。

		{
			"Action": [
				"ssm:StartAutomationExecution"
			],
			"Resource": "arn:aws:ssm:ap-northeast-1:111122223333:automation-definition/*:*",
			"Effect": "Allow",
			"Sid": "AllowExecuteAutomation"
		}

しかし、今後は下記のようにResource句を追加する必要があります

		{
			"Action": [
				"ssm:StartAutomationExecution"
			],
			"Resource": [
				"arn:aws:ssm:ap-northeast-1:111122223333:automation-definition/*:*",
    			"arn:aws:ssm:*:111122223333:document/*",
				"arn:aws:ssm:*:111122223333:automation-execution/*"
			],
			"Effect": "Allow",
			"Sid": "AllowExecuteAutomation"
		}

※もし、SSM Runbookから別のSSM Runbookを実行するようなケースでは以下のように"ssm:GetAutomationExecution"を追加する必要があります。

		{
			"Action": [
				"ssm:StartAutomationExecution",
                "ssm:GetAutomationExecution"
			],
			"Resource": [
				"arn:aws:ssm:ap-northeast-1:111122223333:automation-definition/*:*",
    			"arn:aws:ssm:*:111122223333:document/*",
				"arn:aws:ssm:*:111122223333:automation-execution/*"
			],
			"Effect": "Allow",
			"Sid": "AllowExecuteAutomation"
		}

終わりに

こういった仕様変更に気づかないで調査に時間を要してしまっていたので、今後はHealthイベントをきちんと確認しておくべきだと反省しました。

参考文献