AWS Systems Manager
用户指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

步骤 6:(可选)禁用或启用 ssm-user 账户管理权限

当支持 Session Manager 的某个 SSM 代理版本在实例上启动时,它会创建一个名为 ssm-user 的具有根或管理员权限的用户账户。在 Linux 计算机上,此账户添加到 /etc/sudoers。在 Windows 计算机上,此账户添加到 Administrators 组。系统使用此用户账户的凭证启动会话。

若要阻止 Session Manager 用户在实例上运行管理命令,可以更新其 ssm-user 权限。这些权限在删除后还可以恢复。

在 Linux 上管理 ssm-user sudo 账户权限

使用以下过程之一在 Linux 实例上禁用或启用 ssm-user 账户 sudo 权限:

使用 Run Command 修改 ssm-user sudo 权限(控制台)

  • 从控制台运行命令中的过程中使用以下值:

    • 对于 Command document (命令文档),选择 AWS-RunShellScript

    • 要删除 sudo 访问权限,请在 Command parameters (命令参数) 区域中,将以下内容粘贴到 Commands (命令) 框中:

      cd /etc/sudoers.d echo "#User rules for ssm-user" > ssm-agent-users

      -或者-

      要恢复 sudo 访问权限,请在 Command parameters (命令参数) 区域中,将以下内容粘贴到 Commands (命令) 框中:

      cd /etc/sudoers.d echo "ssm-user ALL=(ALL) NOPASSWD:ALL" > ssm-agent-users

使用命令行修改 ssm-user sudo 权限 (AWS CLI)

  1. 连接到实例并运行以下命令:

    sudo -s
  2. 使用以下命令更改工作目录:

    cd /etc/sudoers.d
  3. 打开名为 ssm-agent-users 的文件进行编辑。

  4. 要删除 sudo 访问权限,请删除以下行:

    ssm-user ALL=(ALL) NOPASSWD:ALL

    -或者-

    要恢复 sudo 访问权限,请添加以下行:

    ssm-user ALL=(ALL) NOPASSWD:ALL
  5. 保存文件。

在 Windows Server 上管理 ssm-user 管理员账户权限

使用以下过程之一在 Windows Server 实例上禁用或启用 ssm-user 账户管理员权限:

使用 Run Command 修改管理员权限(控制台)

  • 从控制台运行命令中的过程中使用以下值:

    对于 Command document (命令文档),选择 AWS-RunPowerShellScript

    要删除管理员访问权限,请在 Command parameters (命令参数) 区域中,将以下内容粘贴到 Commands (命令) 框中:

    net localgroup "Administrators" "ssm-user" /delete

    -或者-

    要恢复管理员访问权限,请在 Command parameters (命令参数) 区域中,将以下内容粘贴到 Commands (命令) 框中:

    net localgroup "Administrators" "ssm-user" /add

使用 PowerShell 或命令提示符窗口修改管理员权限

  1. 连接到实例并打开 PowerShell 或命令提示符窗口。

  2. 要删除管理访问权限,请运行以下命令:

    net localgroup "Administrators" "ssm-user" /delete

    -或者-

    要恢复管理访问权限,请运行以下命令:

    net localgroup "Administrators" "ssm-user" /add

使用 Windows 控制台修改管理员权限

  1. 连接到实例并打开 PowerShell 或命令提示符窗口。

  2. 在命令行中,运行 lusrmgr.msc 打开本地用户和组控制台。

  3. 打开用户目录,然后打开 ssm-user

  4. Member Of (属于) 选项卡上,执行以下操作之一:

    • 要删除管理员权限,请选择 Administrators,然后选择删除

      -或者-

      要恢复管理员权限,请在文本框中键入 Administrators,然后选择添加

  5. 选择 OK