Como posso usar o Gerenciador de Sessões para controlar o acesso às minhas instâncias?

Breve descrição

Use o Gerenciador de Sessões para gerenciar sua instância do Amazon Elastic Compute Cloud (Amazon EC2) ou sua instância on-premises. O Gerenciador de Sessões se conecta por meio de um shell baseado em navegador ou por meio da AWS Command Line Interface (AWS CLI).

Use políticas do Identity and Access Management (IAM) para controlar os usuários que podem usar o Gerenciador de Sessões para acessar a instância. A política do IAM também controla as ações da API que os usuários podem realizar.

Observação: se você receber erros ao executar comandos da AWS CLI, consulte Solucionar erros da AWS CLI. Além disso, verifique se está utilizando a versão mais recente do AWS CLI.

Pré-requisitos:

• Preencha os pré-requisitos do Gerenciador de Sessões.
• Verifique ou crie um perfil de instância do IAM com as permissões do Gerenciador de Sessões.
• (Opcional) Instale o plug-in do Session Manager para o AWS CLI.

Resolução

Para permitir que os usuários se conectem ao Session Manager, primeiro crie uma política do IAM que conceda acesso de StartSession ao usuário do IAM. Em seguida, anexe a política do IAM ao usuário do IAM.

Conclua as etapas a seguir:

1. Abra o console do IAM.
2. No painel de navegação, em Gerenciamento de acesso, escolha Políticas.
3. Escolha Criar política e, em seguida, escolha a guia JSON.
4. Copie o documento JSON de amostra Restringir acesso a nós gerenciados específicos e, em seguida, insira a política na guia JSON no console.
   Importante: o ARN do recurso na política de exemplo usa a região da AWS us-east-2 e inclui espaços reservados para o ID da instância e o ID da conta. Substitua esses valores pelos seus.
5. Selecione Avançar.
6. Na página Revisar e criar, insira as seguintes informações:
   Em Nome da política, insira um nome para sua política.
   (Opcional) Em Descrição, insira uma descrição para a política.
7. Selecione Criar política.
8. Anexe a política do IAM ao usuário.

Os usuários que têm acesso podem executar o seguinte comando para iniciar a chamada de API start-session:

aws ssm start-session --target instance-id

Observação: substitua instance-id pelo ID da instância para o qual o usuário deseja iniciar uma sessão.

Para permitir que os usuários usem o console do Amazon EC2 para iniciar uma sessão, anexe as seguintes políticas gerenciadas pela AWS ao usuário:

• Acesso somente para leitura do Amazon SSM
• Acesso somente para leitura ao Amazon EC2

Informações relacionadas

Exemplos adicionais de políticas do IAM para o Gerenciador de Sessões

Iniciar uma sessão

Criar políticas do IAM (console)

Como o AWS Systems Manager trabalha com o IAM

Políticas gerenciadas pelo AWS Systems Manager