如何使用 Session Manager 來控制對執行個體的存取？

簡短描述

使用 Session Manager 管理您的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或內部部署執行個體。Session Manager 透過瀏覽器型 Shell 或透過 AWS Command Line Interface (AWS CLI) 進行連線。

使用 Identity and Access Management (IAM) 政策來控制哪些使用者可以透過 Session Manager 存取該執行個體。IAM 政策同時也控制使用者可執行的 API 動作。

**注意：**如果您在執行 AWS CLI 命令時收到錯誤，請參閱對 AWS CLI 錯誤進行疑難排解。此外，請確定您使用的是最新的 AWS CLI 版本。

先決條件：

• 滿足 Session Manager 的先決條件。
• 使用 Session Manager 權限驗證或建立 IAM 執行個體設定檔。
• (選用) 安裝適用於 AWS CLI 的 Session Manager 外掛程式。

解決方法

若要允許使用者連線至 Session Manager，請先建立 IAM 政策，以向 IAM 使用者授與 StartSession 存取權。然後，將 IAM 政策附加至 IAM 使用者。

請完成下列步驟：

1. 開啟 IAM console (IAM 主控台)。
2. 在導覽窗格的 Access management (存取管理) 下，選擇 Policies (政策)。
3. 選擇 Create policy (建立政策)，然後選擇 JSON 索引標籤。
4. 複製限制對特定受管節點的存取範例 JSON 文件，然後將該政策貼到主控台中的 JSON 索引標籤中。
   重要：範例政策中的資源 ARN 使用 us-east-2 AWS 區域，並包含執行個體 ID 和帳戶 ID 的預留位置。將這些值替換為您自己的值。
5. 選擇 Next (下一步)。
6. 在 Review and create (檢查並建立) 頁面上，輸入以下資訊：
   在 Policy name (政策名稱) 中，輸入您政策的名稱。
   (選用) 在 Description (描述) 中，輸入政策的描述。
7. 選擇 Create policy (建立政策)。
8. 將 IAM 政策附加至使用者。

具有存取權的使用者可以執行以下命令來啟動 start-session API 呼叫：

aws ssm start-session --target instance-id

**注意：**將 instance-id 替換為使用者想要啟動工作階段的執行個體 ID。

若要允許使用者使用 Amazon EC2 主控台啟動工作階段，請將下列 AWS 受管政策附加到使用者：

• AmazonSSMReadOnlyAccess
• AmazonEC2ReadOnlyAccess

相關資訊

Session Manager 的其他 IAM 政策範例

啟動工作階段

建立 IAM 政策 (主控台)

AWS Systems Manager 如何與 IAM 搭配運作

AWS Systems Manager 受管政策