¿Cómo puedo usar el Administrador de sesiones para controlar el acceso a mis instancias?

Descripción corta

Usa el Administrador de sesiones para administrar tu instancia de Amazon Elastic Compute Cloud (Amazon EC2) o instancia local. El Administrador de sesiones se conecta a través de un shell del navegador o de la Interfaz de la línea de comandos de AWS (AWS CLI).

Usa las políticas de Identity and Access Management (IAM) para controlar los usuarios que pueden utilizar el Administrador de sesiones para acceder a la instancia. La política de IAM también controla las acciones de la API que pueden realizar los usuarios.

Nota: Si se muestran errores al ejecutar comandos de la AWS CLI, consulte Errores de solución de problemas de la AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Requisitos previos:

• Completa los requisitos previos del Administrador de sesiones.
• Verifica o crea un perfil de instancia de IAM con permisos del Administrador de sesiones.
• (Opcional) Instale el complemento del administrador de sesiones para la AWS CLI.

Resolución

Para permitir que los usuarios se conecten al administrador de sesiones, cree primero una política de IAM que conceda acceso StartSession al usuario de IAM. A continuación, adjunta la política de IAM al usuario de IAM.

Sigue estos pasos:

1. Abre la consola de IAM.
2. En el panel de navegación, en Administración del acceso, elige Políticas.
3. Selecciona Crear política y, a continuación, elige la pestaña JSON.
4. Copia el documento JSON de ejemplo de Restringir el acceso a nodos administrados específicos y, a continuación, introduce la política en la pestaña JSON de la consola.
   Importante: El ARN del recurso en la política de ejemplo utiliza la región de AWS us-east-2 e incluye marcadores de posición para el ID de la instancia y el ID de la cuenta. Sustituye estos valores por los tuyos.
5. Selecciona Siguiente.
6. En la página Revisar y crear, introduce la siguiente información:
   En Nombre de la política, introduce un nombre para tu política.
   (Opcional) En Descripción, introduce una descripción de la política.
7. Selecciona Crear política.
8. Adjunta la política de IAM al usuario.

Los usuarios que tengan acceso pueden ejecutar el siguiente comando para iniciar la llamada a la API start-session:

aws ssm start-session --target instance-id

Nota: Sustituye instance-id por el ID de la instancia en la que el usuario desea iniciar una sesión.

Para permitir que los usuarios utilicen la consola de Amazon EC2 para iniciar una sesión, adjunta al usuario las siguientes políticas administradas por AWS:

• AmazonSSMReadOnlyAccess
• AmazonEC2ReadOnlyAccess

Información relacionada

Políticas de IAM de ejemplo adicionales para el Administrador de sesiones

Inicio de una sesión

Creación de políticas de IAM (consola)

Cómo funciona AWS Systems Manager con IAM

Políticas gestionadas de AWS Systems Manager