Amazon Elastic Compute Cloud

用户指南（适用于 Linux 实例）

AWS 文档 » Amazon EC2 » 用户指南（适用于 Linux 实例） » Amazon EC2 实例 » 实例生命周期 » 连接到 Linux 实例 » 使用 EC2 Instance Connect 连接到 Linux 实例 » 设置 EC2 Instance Connect

设置 EC2 Instance Connect

Amazon Linux 2 2.0.20190618 或更高版本预配置了 EC2 Instance Connect。对于支持的其他 Linux 发行版，您必须为将支持使用 Instance Connect 的每个实例设置 Instance Connect。这是每个实例的一次性要求。

步骤 1：配置对实例的网络访问

您必须配置对实例的以下网络访问权限，以便可以安装 EC2 Instance Connect 并允许用户连接到实例：

步骤 1：在实例上安装 EC2 Instance Connect

安装 EC2 Instance Connect 将在实例上配置 SSH 守护程序。对于使用 Amazon Linux 2 和 Ubuntu 启动的实例，安装 EC2 Instance Connect 的过程是不同的。

有关 EC2 Instance Connect 程序包的更多信息，请参阅 GitHub 网站上的 aws/aws-ec2-instance-connect-config。

步骤 3：（可选）安装 EC2 Instance Connect CLI

EC2 Instance Connect CLI 提供与标准 SSH 调用类似的界面，包括查询 EC2 实例信息，生成和发布临时公有密钥以及通过单个命令 (mssh instance_id) 建立 SSH 连接。

安装 EC2 Instance Connect CLI 程序包

使用 pip 安装 ec2instanceconnectcli 程序包。有关更多信息，请参阅 GitHub 网站上的 aws/aws-ec2-instance-connect-cli，以及 Python Package Index (PyPI) 网站上的 https://pypi.org/project/ec2instanceconnectcli/。

$ pip install ec2instanceconnectcli

步骤 4：为 EC2 Instance Connect 配置 IAM 权限

如果 IAM 用户将使用 EC2 Instance Connect 连接到实例，您必须为其授予将公有密钥推送到实例的权限。有关更多信息，请参阅 IAM 用户指南 中的 Amazon EC2 Instance Connect 的操作、资源和条件键。

以下说明介绍如何使用 AWS CLI 创建并附加策略。有关如何使用 AWS 管理控制台的说明，请参阅 IAM 用户指南 中的创建 IAM 策略（控制台）和将策略直接附加到用户以添加权限。

限制

对于 Instance Connect，我们目前不支持基于标签的授权。

为 IAM 用户授予 EC2 Instance Connect (AWS CLI) 权限

1. 创建一个 JSON 策略文档，其中包含以下内容：

   • ec2-instance-connect:SendSSHPublicKey 操作。此操作为 IAM 用户授予将公有密钥推送到实例的权限。使用 ec2-instance-connect:SendSSHPublicKey，考虑限制对特定 EC2 实例的访问。否则，具有此权限的所有 IAM 用户都可以连接到所有 EC2 实例。

   • ec2:osuser 条件。这指定可以将公有密钥推送到实例的操作系统用户的名称。使用用于启动实例的 AMI 的默认用户名称。例如，对于 Ubuntu，Amazon Linux 2 的默认用户名为 ec2-user 和 ubuntu。

   • ec2:DescribeInstances 操作。使用 EC2 Instance Connect CLI 时此操作是必需的，因为包装程序会调用此操作。IAM 用户可能已经拥有从另一个策略调用此操作的权限。

   下面是示例策略文档。如果您的用户将仅使用 SSH 客户端连接到您的实例，则可以省略 ec2:DescribeInstances 操作的语句。您可以替换 Resource 中的指定实例，以授予用户使用 EC2 Instance Connect 访问所有 EC2 实例的权限。

   {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "ec2-instance-connect:SendSSHPublicKey",
           "Resource": [
               "arn:aws-cn:ec2:region:account-id:instance/i-1234567890abcdef0",
               "arn:aws-cn:ec2:region:account-id:instance/i-0598c7d356eba48d7"
           ],
           "Condition": {
               "StringEquals": {
                   "ec2:osuser": "ami-username"
               }
           }
         },
         {
           "Effect": "Allow",
           "Action": "ec2:DescribeInstances",
           "Resource": "*"
         }
       ]
   }

2. 使用 create-policy 命令创建新的托管策略，并指定您创建的 JSON 文档以作为新策略的内容。

   $ aws iam create-policy --policy-name my-policy --policy-document file://JSON-file-name

3. 使用 attach-user-policy 命令将托管策略附加到指定的 IAM 用户。对于 --user-name 参数，请指定 IAM 用户的友好名称（而不是 ARN）。

   $ aws iam attach-user-policy --policy-arn arn:aws:iam::account-id:policy/my-policy --user-name IAM-friendly-name

本页内容：

• 步骤 1：配置对实例的网络访问
• 步骤 1：在实例上安装 EC2 Instance Connect
• 步骤 3：（可选）安装 EC2 Instance Connect CLI
• 步骤 4：为 EC2 Instance Connect 配置 IAM 权限