AWS Systems Manager
用户指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

使用 SSM 代理

AWS Systems Manager 代理(SSM 代理)是一个 Amazon 软件,可以在 Amazon EC2 实例、本地服务器或虚拟机 (VM) 上安装和配置。SSM 代理 让 Systems Manager 可以更新、管理和配置这些资源。代理处理来自 AWS 云中的 Systems Manager 服务的请求,然后按照请求中指定的方式运行它们。SSM 代理之后使用 Amazon Message Delivery Service(服务前缀:ec2messages)将状态和执行信息发送回 Systems Manager 服务。

如果您对流量进行监控,将看到 Amazon EC2 实例以及您的混合环境中的所有本地服务器或 VM,并与 ec2messages.* 终端节点通信。有关更多信息,请参阅参考:ec2messages、ssmmessages 和其他 API 调用。有关将 SSM 代理日志移植到 Amazon CloudWatch Logs 的信息,请参阅监控 AWS Systems Manager

保持 SSM 代理 的最新状态

SSM 代理 的更新版本在有新功能添加到 Systems Manager 或者对现有功能进行了更新时发布。如果较早版本的代理运行在实例上,一些 SSM 代理 过程会失败。因此,我们建议您自动完成确保实例上的 SSM 代理 为最新的过程。有关信息,请参阅 自动更新到 SSM 代理。要获得有关 SSM 代理 更新的通知,请在 GitHub 上订阅 SSM 代理发布说明页面

注意

默认情况下,包括 SSM 代理 的 AMI 可能需要长达两周时间更新为最新版本的 SSM 代理。我们建议您将 SSM 代理 的自动更新配置为更高的频率。

SSM 代理的更新版本将在不同时间推广到新的 AWS 区域。因此,当您尝试在某个区域中部署新版本的 SSM 代理时,可能出现“Unsupported on current platform”(当前平台不支持) 错误。

关于本地 ssm-user 账户

从 SSM 代理 版本 2.3.50.0 开始,此代理会创建一个名为 ssm-user 的本地用户账户,并将其添加到 /etc/sudoers (Linux) 或管理员组 (Windows)。在 2.3.612.0 之前的代理版本上,账户会在 SSM 代理 安装后首次启动或重启时创建。在版本 2.3.612.0 及更高版本上,ssm-user 账户将在会话在实例上首次启动时创建。此 ssm-user 是 Session Manager 会话启动时的默认操作系统用户。您可以通过将 ssm-user 移动到权限较低的组或更改 sudoers 文件来更改权限。卸载 SSM 代理 时,不会从系统中删除 ssm-user 账户。

在 Windows Server 上,SSM 代理 处理每个会话启动时对 ssm-user 账户的新密码的设置。Linux 托管实例上没有为 ssm-user 设置密码。

从 SSM 代理 版本 2.3.612.0 开始,ssm-user 账户不会在用作域控制器的 Windows Server 计算机上自动创建。要在 Windows Server 域控制器上使用 Session Manager,您必须手动创建 ssm-user 账户(如果没有)。

重要

为了能够创建 ssm-user 账户,附加到实例的实例配置文件必须提供必要的权限。有关信息,请参阅验证或创建具有 Session Manager 权限的 IAM 实例配置文件

预安装了 SSM 代理 的 AMI

默认情况下,SSM 代理 预先安装在以下 Amazon 系统映像 (AMI) 上:

  • 2006 年 11 月或以后发布的 Windows Server 2003-2012 R2 AMI

  • Windows Server 2016 和 2019

  • Amazon Linux

  • Amazon Linux 2

  • Ubuntu Server 16.04

  • Ubuntu Server 18.04

对于通过其他 Linux AMI(包括经 Amazon ECS 优化的 AMI 等非基本映像)创建的 Amazon EC2 实例,必须手动安装 SSM 代理。您还必须在混合环境中的本地服务器或 VM 上手动安装 SSM 代理。有关更多信息,请参阅 为混合环境设置 AWS Systems Manager

GitHub 上的 SSM 代理

GitHub 上可以找到 SSM 代理 的源代码,您可以调整代理以满足您的需求。我们鼓励您针对要包含的更改提交提取请求。但是,Amazon Web Services 当前不支持运行此软件的修改后副本。