amazon-web-services - 特定の ssm ドキュメントへのアクセスを制限する方法は、特定の ec2 インスタンスでのみ実行できますか?

Question

指定された EC2 インスタンスでのみ実行できる、カスタム作成された ssm ドキュメントにアクセスできるポリシーを作成する必要があります。

このようなポリシーを試しましたが、インスタンスで実行されるドキュメントを制御するには不十分です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2messages:DeleteMessage",
                "ec2messages:GetEndpoint",
                "ec2messages:FailMessage",
                "ec2messages:AcknowledgeMessage",
                "ec2messages:SendReply",
                "ec2messages:GetMessages"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:UpdateInstanceInformation",
                "ssm:UpdateAssociationStatus",
                "ssm:ListInstanceAssociations",
                "ssm:ListAssociations",
                "ssm:UpdateInstanceAssociationStatus"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:xxxxxxxxxx:document/xxxxxxxxxx",
                "arn:aws:ec2:us-east-1:xxxxxxxxxx:instance/*"
            ]
        }
    ]
}

これは実行可能ですか？

助けていただければ幸いです。ありがとう