• Das AWS Systems Manager CloudWatch Dashboard wird nach dem 30. April 2026 nicht mehr verfügbar sein. Kunden können die CloudWatch Amazon-Konsole weiterhin verwenden, um ihre CloudWatch Amazon-Dashboards anzuzeigen, zu erstellen und zu verwalten, so wie sie es heute tun. Weitere Informationen finden Sie in der Amazon CloudWatch Dashboard-Dokumentation.
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Die Sicherheit von EC2-Instances mithilfe von VPC-Endpunkten für Systems Manager verbessern
Sie können die Sicherheitslage Ihrer verwalteten Knoten (einschließlich Nicht-EC2-Maschinen in einer Hybrid- und Multi-Cloud-Umgebung) verbessern, indem Sie die Verwendung eines Schnittstellen-VPC-Endpunkts in Amazon Virtual Private Cloud (Amazon VPC) konfigurieren AWS Systems Manager . Mithilfe eines Schnittstellen-VPC-Endpunkts (Schnittstellenendpunkt) können Sie eine Verbindung zu Diensten herstellen, die von bereitgestellt werden. AWS PrivateLink AWS PrivateLink ist eine Technologie, mit der Sie mithilfe privater IP-Adressen privat auf Amazon Elastic Compute Cloud (Amazon EC2) und Systems Manager-APIs zugreifen können.
AWS PrivateLink schränkt den gesamten Netzwerkverkehr zwischen Ihren verwalteten Instances, Systems Manager und Amazon EC2 auf das Amazon-Netzwerk ein. Dies bedeutet, dass Ihre verwalteten Instances keinen Zugriff auf das Internet haben. Wenn Sie es verwenden AWS PrivateLink, benötigen Sie kein Internet-Gateway, kein NAT-Gerät oder ein Virtual Private Gateway.
Eine Konfiguration ist nicht erforderlich AWS PrivateLink, wird aber empfohlen. Weitere Informationen zu AWS PrivateLink VPC-Endpunkten finden Sie unter AWS PrivateLink und VPC-Endpoints.
Anmerkung
Die Alternative zur Verwendung eines VPC-Endpunkts ist das Aktivieren von ausgehendem Internetzugriff auf Ihren verwalteten Instances. In diesem Fall müssen die verwalteten Instances auch ausgehenden HTTPS-Datenverkehr (Port 443) zu den folgenden Endpunkten zulassen:
-
ssm.region.amazonaws.com -
ssmmessages.region.amazonaws.com -
ec2messages.region.amazonaws.com
SSM Agent initiiert alle Verbindungen zum Systems Manager-Service in der Cloud. Aus diesem Grund müssen Sie Ihre Firewall nicht so konfigurieren, dass eingehender Datenverkehr zu Ihren Instances für Systems Manager zugelassen wird.
Weitere Informationen über Anrufe an diese Endpunkte finden Sie unter Referenz: ec2messages, ssmmessages und andere API-Operationen.
Wenn Sie Systems Manager in einer Umgebung verwenden, die nur IPv6 unterstützt, müssen Sie auch ausgehenden Datenverkehr zu den folgenden Endpunkten zulassen:
-
ssm.region.api.aws -
ssmmessages.region.api.aws -
ec2messages.region.api.aws
Weitere Informationen zu Dual-Stack-Dienstendpunkten finden Sie unter Dual-Stack-Endpunkte im Allgemeinen Referenzhandbuch. AWS
Sie müssen außerdem sicherstellen, dass die Buckets für Patch-Operationen von Ihren Knoten aus erreichbar sind, wie in Referenz: Amazon S3-Buckets für Patching-Operationen beschrieben.
Über Amazon VPC
Sie können Amazon Virtual Private Cloud (Amazon VPC) verwenden, um ein virtuelles Netzwerk in Ihrem eigenen AWS Cloud, logisch isolierten Bereich innerhalb der sogenannten Virtual Private Cloud (VPC) zu definieren. Sie können Ihre AWS -Ressourcen, z. B. Instances, in Ihrer VPC launchen. Eine VPC ist einem herkömmlichen Netzwerk in einem eigenen Rechenzentrum sehr ähnlich, bietet jedoch die Vorteile durch die Nutzung der skalierbaren Infrastruktur von AWS. Sie können Ihre VPC konfigurieren. Hierzu können Sie den IP-Adressbereich auswählen, Subnetze erstellen sowie Routing-Tabellen, Netzwerk-Gateways und Sicherheitseinstellungen konfigurieren. Sie können jetzt Instances in der VPC mit dem Internet verbinden. Sie können Ihre VPC mit Ihrem eigenen Unternehmensrechenzentrum verbinden und sie so zu AWS Cloud einer Erweiterung Ihres Rechenzentrums machen. Um die Ressourcen in den einzelnen Subnetzen zu schützen, können Sie mehrere Sicherheitsebenen verwenden, darunter Sicherheitsgruppen und Netzwerk-Zugriffskontrolllisten. Weitere Informationen finden Sie im Amazon-VPC-Benutzerhandbuch.
Themen
Beschränkungen und Einschränkungen bei VPC-Endpunkten
Seien Sie sich der folgenden Einschränkungen bewusst, bevor Sie VPC-Endpunkte für Systems Manager konfigurieren.
VPC-Peering-Verbindungen
Der Zugriff auf VPC-Schnittstellenendpunkte erfolgt sowohl über intraregionale als auch interregionale VPC-Peering-Verbindungen. Weitere Informationen zu VPC-Peering-Verbindungsanforderungen für VPC-Schnittstellenendpunkte finden Sie unter VPC-Peering-Verbindungen (Kontingente) im Benutzerhandbuch zu Amazon Virtual Private Cloud.
VPC-Gateway-Endpunktverbindungen können nicht auf einen Bereich außerhalb einer VPC erweitert werden. Ressourcen am anderen Ende einer VPC-Peering-Verbindung in Ihrer VPC können nicht über den Gateway-Endpunkt mit Ressourcen im Gateway-Endpunktservice kommunizieren. Weitere Informationen zu VPC-Peering-Verbindungsanforderungen für VPC-Gateway-Endpunkte finden Sie unter VPC-Endpunkte (Kontingente) im Benutzerhandbuch zu Amazon Virtual Private Cloud
Eingehende Verbindungen
Die Sicherheitsgruppe für den VPC-Endpunkt müssen eingehende Verbindungen auf Port 443 aus dem privaten Subnetz der verwalteten Instance zulassen. Wenn keine eingehenden Verbindungen zulässig sind, kann die verwaltete Instance keine Verbindung mit den SSM- und EC2-Endpunkten einrichten.
DNS-Auflösung
Wenn Sie einen benutzerdefinierten DNS-Server verwenden, müssen Sie dem Amazon-DNS-Server für Ihre VPC einen bedingten Weiterleiter für alle Abfragen an die amazonaws.com-Domain hinzufügen.
S3-Buckets
Ihre VPC-Endpunktrichtlinie muss mindestens Zugriff auf die folgenden Amazon-S3-Buckets in SSM-Agent Kommunikation mit AWS verwaltete S3-Buckets gewähren.
Anmerkung
Wenn Sie eine On-Premises-Firewall verwenden und Patch Manager nutzen möchten, muss diese Firewall auch den Zugriff auf den geeigneten Patch-Baseline-Endpunkt zulassen.
Amazon Logs CloudWatch
Wenn Sie Ihren Instances nicht erlauben, auf das Internet zuzugreifen, erstellen Sie einen VPC-Endpunkt für CloudWatch Logs, um Funktionen zu verwenden, die CloudWatch Protokolle an Logs senden. Weitere Informationen zum Erstellen eines Endpunkts für CloudWatch Logs finden Sie unter Erstellen eines VPC-Endpunkts für CloudWatch Logs im Amazon CloudWatch Logs-Benutzerhandbuch.
DNS in einer Hybrid- und Multi-Cloud-Umgebung
Informationen zur Konfiguration von DNS für die Verwendung mit AWS PrivateLink Endpunkten in Hybrid- und Multi-Cloud-Umgebungen finden Sie unter Private DNS für Schnittstellenendpunkte im Amazon VPC-Benutzerhandbuch. Wenn Sie Ihre eigene DNS verwenden möchten, können Sie Route 53-Resolver nutzen. Weitere Informationen finden Sie unter Auflösen von DNS-Abfragen zwischen VPCs und Ihrem Netzwerk im Entwicklerhandbuch zu Amazon Route 53.
Erstellen von VPC-Endpunkten für Systems Manager
Verwenden Sie die folgenden Informationen, um VPC-Schnittstellenendpunkte für zu erstellen. AWS Systems Manager Dieses Thema verweist auf Verfahren im Amazon VPC User Guide.
Anmerkung
regionsteht für den Bezeichner für eine AWS-Region Region AWS Systems Manager, die unterstützt wird, z. B. us-east-2 für die Region USA Ost (Ohio). Eine Liste der unterstützten region Werte finden Sie in der Spalte Region der Systems Manager-Dienstendpunkte im Allgemeine Amazon Web Services-Referenz.
Befolgen Sie die Schritte unter Erstellen eines Schnittstellen-Endpunkts zum Erstellen der folgenden Schnittstellen-Endpunkte:
-
com.amazonaws.– Der Endpunkt für den Systems-Manager-Service.region.ssm -
com.amazonaws.– Systems Manager verwendet diesen Endpunkt, um Anrufe vom SSM Agent an den Systems-Manager-Service zu tätigen. Ab Version 3.3.40.0 von SSM Agent begann Systems Manager, denregion.ec2messagesssmmessages:*-Endpunkt (Amazon Message Gateway Service), wann immer verfügbar, anstelle desec2messages:*-Endpunkts (Amazon Message Delivery Service) zu verwenden. -
com.amazonaws.— Wenn Sie Systems Manager zum Erstellen von VSS-enabled Snapshots verwenden, müssen Sie sicherstellen, dass Sie über einen Endpunkt für den EC2-Dienst verfügen. Ohne den definierten EC2-Endpunkt schlägt der Aufruf zur Auflistung angefügter Amazon-EBS-Volumes fehl. Dies führt dazu, dass der Systems-Manager-Befehl fehlschlägt.region.ec2 -
com.amazonaws.– Systems Manager verwendet diesen Endpunkt für die AktualisierungSSM Agent. Systems Manager verwendet diesen Endpunkt auch, wenn Sie optional Skripts oder andere in Buckets gespeicherte Dateien abrufen oder Ausgabeprotokolle in einen Bucket hochladen möchten. Wenn die mit Ihren Instances verknüpfte Sicherheitsgruppe den ausgehenden Datenverkehr einschränkt, müssen Sie eine Regel hinzufügen, um Datenverkehr zur Präfixliste für Amazon S3 zuzulassen. Weitere Informationen finden Sie unter Modify your security group im AWS PrivateLink -Guide.region.s3 -
com.amazonaws.– Dieser Endpunkt wird benötigt, damit SSM Agent mit dem Systems-Manager-Service kommunizieren kann, für Run Command und wenn Sie über einen sicheren Datenkanal eine Verbindung zu Ihren Instances mit Session Manager herstellen. Weitere Informationen erhalten Sie unter AWS Systems Manager Session Manager und Referenz: ec2messages, ssmmessages und andere API-Operationen.region.ssmmessages -
(Optional)
com.amazonaws.— Erstellen Sie diesen Endpunkt, wenn Sie die AWS Key Management Service (AWS KMS) -Verschlüsselung für Session Manager unsere Parameter verwenden möchten. Parameter Storeregion.kms -
(Optional)
com.amazonaws.— Erstellen Sie diesen Endpunkt, wenn Sie Amazon CloudWatch Logs (CloudWatch Logs) für Session Manager oder SSM Agent Protokolle verwenden möchten. Run Commandregion.logs
Informationen zu den AWS verwalteten S3-Buckets, auf die zugegriffen werden SSM Agent muss, finden Sie unterSSM-Agent Kommunikation mit AWS verwaltete S3-Buckets. Wenn Sie in Ihren Systems Manager-Vorgängen einen VPC-Endpunkt verwenden, müssen Sie in einem EC2-Instance-Profil oder in einer Servicerolle für Knoten, die nicht von EC2 verwaltet werden, eine ausdrückliche Genehmigung erteilen.
Erstellen einer Schnittstellen-VPC-Endpunkt-Richtlinie
Sie können Richtlinien für VPC-Schnittstellenendpunkte erstellen, für die Sie Folgendes angeben können: AWS Systems Manager
-
Der Prinzipal, der die Aktionen ausführen kann
-
Aktionen, die ausgeführt werden können
-
Ressourcen, für die Aktionen ausgeführt werden können
Weitere Informationen finden Sie unter Steuerung des Zugriffs auf Services mit VPC-Endpunkten im Benutzerhandbuch zu Amazon VPC.
