步骤 8：（可选）通过以下方式允许和控制 SSH 连接的权限 Session Manager

允许 Session Manager 的 SSH 连接

1. 在要允许 SSH 连接的托管式节点上，执行以下操作：

   • 确保 SSH 正在托管式节点上运行。（您可以关闭节点上的入站端口。）

   • 确保托管式节点上安装了 SSM Agent 版本 2.3.672.0 或更高版本。

     有关在托管式节点上安装或更新 SSM Agent 的更多信息，请参阅以下主题：

     • 在适用于 Windows Server 的 EC2 实例上使用 SSM Agent.

     • 在适用于 Linux 的 EC2 实例上使用 SSM Agent

     • 在适用于 macOS 的 EC2 实例上使用 SSM Agent

     • 为混合环境安装 SSM Agent (Windows)

     • 为混合环境安装 SSM Agent (Linux))

     注意

     要将 Session Manager 与作为托管式节点激活的本地服务器、边缘设备和虚拟机 (VM) 一起使用，必须使用高级实例套餐。有关高级实例的更多信息，请参阅 配置实例套餐。

2. 在要使用 SSH 连接到托管式节点的本地计算机上，执行以下操作：

   • 确保安装了 Session Manager 插件的版本 1.1.23.0 或更高版本。

     有关安装 Session Manager 的信息，请参阅 安装Session Manager插件 Amazon CLI。

   • 更新 SSH 配置文件以允许运行代理命令，此命令启动 Session Manager 会话并通过连接传输所有数据。

     Linux 和 macOS

     提示

     SSH 配置文件通常位于 ~/.ssh/config。

     将以下内容添加到本地计算机上的配置文件中。

     # SSH over Session Manager
     host i-* mi-*
         ProxyCommand sh -c "aws ssm start-session --target %h --document-name AWS-StartSSHSession --parameters 'portNumber=%p'"

     Windows

     提示

     SSH 配置文件通常位于 C:\Users\<username>\.ssh\config。

     将以下内容添加到本地计算机上的配置文件中。

     # SSH over Session Manager
     host i-* mi-*
         ProxyCommand C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe "aws ssm start-session --target %h --document-name AWS-StartSSHSession --parameters portNumber=%p"

   • 创建或确认您具有在建立与托管式节点的连接时使用的 Privacy Enhanced Mail 证书（PEM 文件），或者至少具有公有密钥。此密钥必须是已与托管式节点关联的密钥。必须设置私有密钥文件的权限，以确保只有您可以读取该文件。您可以使用以下命令设置您的私有密钥文件的权限，以确保只有您可以读取该文件。

     chmod 400 <my-key-pair>.pem

     例如，对于 Amazon Elastic Compute Cloud (Amazon EC2) 实例，这是您在创建实例时创建或选择的密钥对文件。（您可以在启动会话的命令中指定证书或密钥的路径。有关使用 SSH 启动会话的信息，请参阅 启动会话 (SSH)。）

要使用 IAM policy 允许通过 Session Manager 进行 SSH 连接，请执行以下步骤：

• 使用以下选项之一：

  • 选项 1：通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

    在导航窗格中，选择 Policies (策略)，然后更新您想要允许通过 Session Manager 启动 SSH 连接的用户或角色的权限策略。

    例如，将以下元素添加到您在Session Manager 的快速入门最终用户策略中创建的快速入门策略中。将每个示例资源占位符替换为您自己的信息。

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": "ssm:StartSession",
                "Resource": [
                    "arn:aws:ec2:region:account-id:instance/instance-id",
                    "arn:aws:ssm:*:*:document/AWS-StartSSHSession"
                ],
                "Condition": {
                    "BoolIfExists": {
                        "ssm:SessionDocumentAccessCheck": "true"
                    }
                 }
            }
        ]
    }

  • 选项 2：使用 Amazon Web Services Management Console、Amazon CLI 或 Amazon API 将一个内联策略附加到用户策略。

    通过使用所选的方法，将选项 1 中的策略语句附加到 Amazon 用户、组或角色的策略中。

    有关信息，请参阅 IAM 用户指南中的添加和删除 IAM 身份权限。

要使用 IAM policy 拒绝通过 Session Manager 进行 SSH 连接，请执行以下步骤：

• 使用以下选项之一：

  • 选项 1：通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。在导航窗格中，选择 Policies (策略)，然后更新用户或角色的权限策略以阻止启动 Session Manager 会话。

    例如，将以下元素添加到您在Session Manager 的快速入门最终用户策略中创建的快速入门策略中。

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "VisualEditor1",
                "Effect": "Deny",
                "Action": "ssm:StartSession",
                "Resource": "arn:aws:ssm:*:*:document/AWS-StartSSHSession"
            }
        ],
                "Condition": {
                    "BoolIfExists": {
                        "ssm:SessionDocumentAccessCheck": "true"
                    }
                 }
    }

  • 选项 2：使用 Amazon Web Services Management Console、Amazon CLI 或 Amazon API 将一个内联策略附加到用户策略。

    通过使用所选的方法，将选项 1 中的策略语句附加到 Amazon 用户、组或角色的策略中。

    有关信息，请参阅 IAM 用户指南中的添加和删除 IAM 身份权限。