Полезная статья по установке SSM Manager - есть отсутствующий в документации список используемых SSM менеджером API.
Вообще, по теме доступа для SSM Manager, единственный найденный список, чтобы не использовать встроенную AmazonEC2RoleforSSM - policy для SSM.
В реальности это, видимо, компиляция из официальной доки, которая описыват лишь отдельные права (потому нужно проверять), а полные даются лишь присоединяемой (ManagedPolicy) ролью, чтобы это делать отдельно, а не давать в шаблоне изначально — иначе будут полные права, в частности, на s3, которые есть в AmazonEC2RoleforSSM. Итого, я пока оставляю свои, вручную подобратнные когда-то для SSM-agent (чтобы не было ошибок в логах - уже может устарело, нужно обновить):

- PolicyName: amazon-ssm-agent
  PolicyDocument:
    Statement:
    - Effect: Allow
      Action:
        - 'ssm:UpdateInstanceInformation'
        - 'ssm:ListAssociations'
      Resource:
        - 'arn:aws:ec2:*:*:instance/*'
        - 'arn:aws:ssm:*:*:*'

#ssm #ssm_manager #policy #AmazonEC2RoleforSSM #check #todo