Schritt 8: (Optional) Erlauben und kontrollieren Sie die Berechtigungen für SSH-Verbindungen über Session Manager

Um SSH-Verbindungen zuzulassen für Session Manager

1. Gehen Sie auf dem verwalteten Knoten, zu dem Sie SSH-Verbindungen erlauben möchten, wie folgt vor:

   • Stellen Sie sicher, dass SSH auf dem verwalteten Knoten läuft. (Sie können eingehende Ports für den Knoten schließen.)

   • Stellen Sie sicher, dass SSM Agent Version 2.3.672.0 oder höher auf dem verwalteten Knoten installiert ist.

     Weitere Informationen zum Installieren oder Aktualisieren von SSM Agent auf einem verwalteten Knoten finden Sie in den folgenden Themen:

     • Manuelles Installieren und Deinstallieren SSM-Agent auf EC2-Instances für Windows Server.

     • Manuelle Installation und Deinstallation des SSM Agent auf EC2-Instances für Linux

     • Manuelle Installation und Deinstallation des SSM Agent auf EC2-Instances für macOS

     • So installieren Sie den SSM Agent in Hybrid-Windows-Knoten

     • So installieren Sie den SSM Agent in Hybrid-Linux-Knoten

2. Gehen Sie auf der lokalen Maschine, mit der Sie mit SSH eine Verbindung zu einem verwalteten Knoten herstellen möchten, wie folgt vor:

   • Stellen Sie sicher, dass Version 1.1.23.0 oder höher des Plugins installiert ist. Session Manager

     Weitere Informationen zur Installation des Session Manager-Plugins finden Sie unter Installieren Sie den Session Manager Plugin für den AWS CLI.

   • Aktualisieren Sie die SSH-Konfigurationsdatei so, dass ein Proxy-Befehl ausgeführt wird, der eine Session Manager-Sitzung startet und alle Daten über die Verbindung überträgt.

     Linux und macOS

     Tipp

     Die SSH-Konfigurationsdatei befindet sich in der Regel unter ~/.ssh/config.

     Fügen Sie der Konfigurationsdatei auf dem lokalen Computer den folgenden Code hinzu.

     # SSH over Session Manager
     Host i-* mi-*
         ProxyCommand sh -c "aws ssm start-session --target %h --document-name AWS-StartSSHSession --parameters 'portNumber=%p'"
         User ec2-user

     Windows

     Tipp

     Die SSH-Konfigurationsdatei befindet sich in der Regel unter C:\Users\<username>\.ssh\config.

     Fügen Sie der Konfigurationsdatei auf dem lokalen Computer den folgenden Code hinzu.

     # SSH over Session Manager
     Host i-* mi-*
         ProxyCommand C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe "aws ssm start-session --target %h --document-name AWS-StartSSHSession --parameters portNumber=%p"

   • Erstellen ein Privacy-Enhanced-Mail-Zertifikat (eine PEM-Datei) oder mindestens einen öffentlichen Schlüssel, bzw. überprüfen Sie, ob sie darüber verfügen, die beim Herstellen von Verbindungen zu verwalteten Knoten verwendet werden sollen. Dies muss ein Schlüssel sein, der dem verwalteten Knoten bereits zugeordnet ist. Die Berechtigungen für Ihre private Schlüsseldatei müssen so festgelegt sein, dass nur Sie diese lesen können. Mit dem folgenden Befehl können Sie die Berechtigungen für Ihre private Schlüsseldatei so festlegen, dass nur Sie diese lesen können.

     chmod 400 <my-key-pair>.pem

     Für eine Amazon Elastic Compute Cloud (Amazon EC2)-Instance kann dies beispielsweise die Schlüsselpaardatei sein, die Sie beim Erstellen der Instance erstellt oder ausgewählt haben. (Sie geben den Pfad zum Zertifikat oder Schlüssel als Teil des Befehls zum Starten einer Sitzung an. Informationen zum Starten einer Sitzung mithilfe von SSH finden Sie unter Starten einer Sitzung (SSH).)

So verwenden Sie eine IAM-Richtlinie, um SSH-Verbindungen zuzulassen über Session Manager

• Wählen Sie eine der folgenden Optionen aus:

  • Option 1: Öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

    Wählen Sie im Navigationsbereich Policies (Richtlinien) aus und aktualisieren Sie dann die Berechtigungsrichtlinie für den Benutzer oder die Rolle, dem/der Sie die Berechtigung erteilen möchten, SSH-Verbindungen über Session Manager zu starten.

    Fügen Sie beispielsweise das folgende Element der Schnellstart-Richtlinie hinzu, die Sie in Quickstart-Richtlinien für Endbenutzer für Session Manager erstellt haben. Ersetzen Sie jeden example resource placeholder durch Ihre Informationen.

    JSON

    {
        "Version":"2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": "ssm:StartSession",
                "Resource": [
                    "arn:aws:ec2:us-east-1:111122223333:instance/instance-id",
                    "arn:aws:ssm:*:*:document/AWS-StartSSHSession"
                ]
            },
            {
                "Effect": "Allow",
                "Action": "ssmmessages:OpenDataChannel",
                "Resource": "arn:aws:ssm:*:*:session/${aws:userid}-*"
            }
        ]
    }
    

  • Option 2: Hängen Sie mithilfe der, der oder der AWS-Managementkonsole AWS API eine Inline-Richtlinie an AWS CLI eine Benutzerrichtlinie an.

    Hängen Sie mit der Methode Ihrer Wahl die Richtlinienerklärung in Option 1 an die Richtlinie für einen AWS Benutzer, eine Gruppe oder eine Rolle an.

    Informationen finden Sie im Abschnitt Hinzufügen und Entfernen von IAM-Identitätsberechtigungen im IAM-Benutzerhandbuch.

So verwenden Sie eine IAM-Richtlinie zum Ablehnen von SSH-Verbindungen über Session Manager

• Wählen Sie eine der folgenden Optionen aus:

  • Option 1: Öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/ Wählen Sie im Navigationsbereich Policies (Richtlinien) aus und aktualisieren Sie dann die Berechtigungsrichtlinie für den Benutzer oder die Rolle, die am Starten von Session Manager-Sitzungen gehindert werden soll.

    Fügen Sie beispielsweise das folgende Element der Schnellstart-Richtlinie hinzu, die Sie in Quickstart-Richtlinien für Endbenutzer für Session Manager erstellt haben.

    JSON

    {
        "Version":"2012-10-17",
        "Statement": [
            {
                "Effect": "Deny",
                "Action": "ssm:StartSession",
                "Resource": "arn:aws:ssm:*:*:document/AWS-StartSSHSession"
            },
            {
                "Effect": "Allow",
                "Action": "ssmmessages:OpenDataChannel",
                "Resource": "arn:aws:ssm:*:*:session/${aws:userid}-*"
            }
        ]
    }
    

  • Option 2: Hängen Sie mithilfe der, der oder der AWS-Managementkonsole AWS API eine Inline-Richtlinie an AWS CLI eine Benutzerrichtlinie an.

    Hängen Sie mit der Methode Ihrer Wahl die Richtlinienerklärung in Option 1 an die Richtlinie für einen AWS Benutzer, eine Gruppe oder eine Rolle an.

    Informationen finden Sie im Abschnitt Hinzufügen und Entfernen von IAM-Identitätsberechtigungen im IAM-Benutzerhandbuch.