Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erfahren Sie technische Details über die SSM Agent

Verwenden Sie die Informationen in diesem Thema, um Ihnen bei der Implementierung von AWS Systems Manager Agent zu helfen (SSM Agent) und verstehen Sie, wie der Agent funktioniert.

SSM Agent Verhalten der Anmeldeinformationen von Version 3.2.x.x

SSM Agent speichert eine Reihe von temporären Anmeldeinformationen unter /var/lib/amazon/ssm/credentials (für Linux) und macOS) oder %PROGRAMFILES%\Amazon\SSM\credentials (für Windows Server) wenn eine Instanz mithilfe der Standard-Host-Management-Konfiguration in eingebunden wird Quick Setup. Die temporären Anmeldeinformationen verfügen über die Berechtigungen, die Sie für die IAM Rolle angegeben haben, die Sie für die Standard-Host-Management-Konfiguration ausgewählt haben. Auf Linux kann nur das Root-Konto auf diese Anmeldeinformationen zugreifen. Ein Windows Server, nur das SYSTEM Konto und die lokalen Administratoren können auf diese Anmeldeinformationen zugreifen.

SSM Agent Vorrang der Anmeldeinformationen

In diesem Thema werden wichtige Informationen zu folgenden Themen beschrieben SSM Agent hat die Berechtigung, Aktionen mit Ihren Ressourcen durchzuführen.

Wann SSM Agent ist auf einem Computer installiert und benötigt Berechtigungen, um mit dem Systems Manager Manager-Dienst zu kommunizieren. Auf Amazon Elastic Compute Cloud (AmazonEC2) -Instances werden diese Berechtigungen in einem Instance-Profil bereitgestellt, das an die Instance angehängt ist. Auf einem Computer, der kein EC2 Computer ist, SSM Agent ruft normalerweise die benötigten Berechtigungen aus der Datei mit gemeinsamen Anmeldeinformationen ab, die sich unter /root/.aws/credentials (Linux und macOS) oder %USERPROFILE%\.aws\credentials (Windows Server). Die erforderlichen Berechtigungen werden dieser Datei während des Hybrid-Aktivierungsprozesses hinzugefügt.

In seltenen Fällen kann es jedoch vorkommen, dass einem Computer Berechtigungen zu mehr als einem der folgenden Standorte hinzugefügt wurden SSM Agent sucht nach Berechtigungen zur Ausführung seiner Aufgaben.

Angenommen, Sie haben eine EC2 Instanz so konfiguriert, dass sie von Systems Manager verwaltet wird. Diese Konfiguration umfasst das Anhängen eines Instance-Profils. Aber dann entscheiden Sie sich, diese Instance auch für Entwickler- oder Endbenutzer-Aufgaben zu verwenden und installieren die AWS Command Line Interface (AWS CLI) darauf. Diese Installation führt dazu, dass zusätzliche Berechtigungen zu einer Anmeldeinformationsdatei auf der Instance hinzugefügt werden.

Wenn Sie einen Systems Manager Manager-Befehl auf der Instance ausführen, SSM Agent könnte versuchen, andere Anmeldeinformationen als die zu verwenden, die Sie erwarten, z. B. aus einer Anmeldeinformationsdatei statt aus einem Instanzprofil. Das liegt daran SSM Agent sucht nach Anmeldeinformationen in der Reihenfolge, die für die standardmäßige Anbieterkette für Anmeldeinformationen vorgeschrieben ist.

Die Standard-Anbieterkette sucht in folgender Reihenfolge nach Anmeldeinformationen:

Verwandte Informationen finden Sie in den folgenden Themen:

Konfigurieren SSM Agent zur Verwendung mit dem Federal Information Processing Standard (FIPS)

Wenn Sie Systems Manager mit nach Federal Information Processing Standard (FIPS) 140-3 validierten kryptografischen Modulen verwenden müssen, können Sie Agent konfigurieren ( AWS Systems Manager SSM Agent), um die FIPS Endgeräte in unterstützten Regionen zu verwenden.

Starten Sie jedes Mal neu, wenn Sie die Konfiguration ändern SSM Agent.

Sie können andere Funktionen von anpassen SSM Agent mit demselben Verfahren. Eine up-to-date Liste der verfügbaren Konfigurationseigenschaften und ihrer Standardwerte finden Sie unter Definitionen von Konfigurationseigenschaften im amazon-ssm-agent Repository unter GitHub.

Weitere Informationen zur AWS FIPS Unterstützung von finden Sie unter Federal Information Processing Standard (FIPS) 140-3.

Über das lokale ssm-user-Konto

Beginnend mit Version 2.3.50.0 von SSM Agent, erstellt der Agent ein lokales Benutzerkonto namens ssm-user und fügt es dem /etc/sudoers.d Verzeichnis hinzu (Linux und macOS) oder zur Administratorgruppe (Windows Server). Bei Agentenversionen vor 2.3.612.0 wird das Konto zum ersten Mal erstellt SSM Agent startet oder startet nach der Installation neu. Auf Version 2.3.612.0 und höher wird das ssm-user-Konto beim ersten Start einer Sitzung auf einer Instance erstellt. Dies ssm-user ist der Standard-Betriebssystembenutzer, wenn eine Sitzung gestartet wird Session Manager, eine Fähigkeit von AWS Systems Manager. Sie können die Berechtigungen ändern, indem Sie ssm-user einer Gruppe mit weniger Berechtigungen hinzufügen oder die sudoers-Datei entsprechend ändern. Das ssm-user Konto wird nicht aus dem System entfernt, wenn SSM Agent ist deinstalliert.

Ein Windows Server, SSM Agent kümmert sich um das Einstellen eines neuen Passworts für das ssm-user Konto, wenn jede Sitzung gestartet wird. Auf Linux-verwalteten Instances werden keine Passwörter für ssm-user festgelegt.

Beginnend mit SSM Agent Version 2.3.612.0, das ssm-user Konto wird nicht automatisch erstellt auf Windows Server Maschinen, die als Domänencontroller verwendet werden. Zur Verwendung Session Manager auf einem Windows Server Erstellen Sie das ssm-user Konto manuell, falls es noch nicht vorhanden ist, und weisen Sie dem Benutzer Domänenadministratorberechtigungen zu.

SSM Agent und die Instance Metadata Service (IMDS)

Systems Manager ist auf EC2 Instanzmetadaten angewiesen, um korrekt zu funktionieren. Systems Manager kann auf Instanz-Metadaten zugreifen, indem entweder Version 1 oder Version 2 von Instance Metadata Service (IMDSv1 and IMDSv2). Ihre Instance muss auf die IPv4 Adresse des Instanz-Metadatendienstes zugreifen können: 169.254.169.254. Weitere Informationen finden Sie unter Instance-Metadaten und Benutzerdaten im EC2Amazon-Benutzerhandbuch.

Behalten SSM Agent up-to-date

Eine aktualisierte Version von SSM Agent wird immer dann veröffentlicht, wenn Systems Manager um neue Funktionen erweitert oder bestehende Funktionen aktualisiert werden. Wenn Sie nicht die neueste Version des Agenten verwenden, kann dies dazu führen, dass der verwaltete Knoten nicht die zahlreichen Features von Systems Manager verwendet. Aus diesem Grund empfehlen wir, den Prozess der Aufbewahrung zu automatisieren SSM Agent auf Ihren Maschinen auf dem neuesten Stand. Weitere Informationen finden Sie unter Automatisieren von Updates für SSM Agent. Abonnieren Sie den SSM AgentSeite mit den Versionshinweisen auf GitHub um Benachrichtigungen zu erhalten über SSM Agent Aktualisierungen.

Stellen Sie sicher, dass SSM Agent Das Installationsverzeichnis wurde nicht geändert, verschoben oder gelöscht

SSM Agent ist installiert unter /var/lib/amazon/ssm/ (Linux und macOS) und %PROGRAMFILES%\Amazon\SSM\ (Windows Server). Diese Installationsverzeichnisse enthalten wichtige Dateien und Ordner, die von SSM Agent, wie z. B. eine Datei mit Anmeldeinformationen, Ressourcen für die Kommunikation zwischen Prozessen (IPC) und Orchestrierungsordner. Nichts im Installationsverzeichnis sollte geändert, verschoben oder gelöscht werden. Andernfalls SSM Agent könnte nicht mehr richtig funktionieren.

SSM Agent fortlaufende Updates von AWS-Regionen

Nach einem SSM Agent Das Update wird in seinem zur Verfügung gestellt GitHub Repository, es kann bis zu zwei Wochen dauern, bis die aktualisierte Version zu unterschiedlichen AWS-Regionen Zeiten für alle verfügbar ist. Aus diesem Grund erhalten Sie möglicherweise die Fehlermeldung „Auf der aktuellen Plattform nicht unterstützt“ oder „Aktualisierung amazon-ssm-agent auf eine ältere Version, bitte aktivieren Sie das Downgrade, um fortzufahren“, wenn Sie versuchen, eine neue Version von bereitzustellen SSM Agent in einer Region.

Um die Version von zu ermitteln SSM Agent steht Ihnen zur Verfügung. Sie können einen curl Befehl ausführen.

Um die im globalen Download-Bucket verfügbare Version des Agenten anzuzeigen, führen Sie den folgenden Befehl aus.

curl https://s3.amazonaws.com/ec2-downloads-windows/SSMAgent/latest/VERSION

Um die in einer bestimmten Region verfügbare Version des Agenten anzuzeigen, führen Sie den folgenden Befehl aus und ersetzen Sie region mit der Region, in der Sie arbeiten, z. B. us-east-2 für die Region USA Ost (Ohio).

curl https://s3.region.amazonaws.com/amazon-ssm-region/latest/VERSION

Sie können die VERSION-Datei auch direkt in Ihrem Browser ohne einen curl-Befehl öffnen.

SSM Agent Kommunikation mit AWS verwalteten S3-Buckets

Im Zuge der Ausführung verschiedener Systems Manager Manager-Operationen hat AWS Systems Manager Agent (SSM Agent) greift auf eine Reihe von Amazon Simple Storage Service (Amazon S3) -Buckets zu. Diese S3-Buckets sind öffentlich zugänglich und standardmäßig SSM Agent stellt über HTTP Anrufe eine Verbindung zu ihnen her.

Wenn Sie jedoch einen Virtual Private Cloud (VPC) -Endpunkt in Ihren Systems Manager-Vorgängen verwenden, müssen Sie in einem Amazon Elastic Compute Cloud (AmazonEC2) -Instanzprofil für Systems Manager oder in einer Servicerolle für EC2 Nicht-Maschinen in einer Hybrid- und Multi-Cloud-Umgebung eine ausdrückliche Genehmigung erteilen. Andernfalls haben Ihre Ressourcen keinen Zugriff auf diese öffentlichen Buckets.

Um Ihren verwalteten Knoten Zugriff auf diese Buckets zu gewähren, wenn Sie einen VPC Endpunkt verwenden, erstellen Sie eine benutzerdefinierte Amazon S3 S3-Berechtigungsrichtlinie und fügen sie dann Ihrem Instance-Profil (für EC2 Instances) oder Ihrer Servicerolle (für nicht EC2 verwaltete Knoten) hinzu.

Informationen zur Verwendung eines Virtual Private Cloud (VPC) -Endpunkts in Ihren Systems Manager-Vorgängen finden Sie unter Verbessern der Sicherheit von EC2 Instanzen mithilfe von VPC Endpunkten für Systems Manager.

Weitere Informationen finden Sie unter den folgenden Themen:

Erforderliche Bucket-Berechtigungen

In der folgenden Tabelle werden die einzelnen S3-Buckets beschrieben, die SSM Agent muss möglicherweise für Systems Manager Manager-Operationen darauf zugreifen.

Amazon S3 S3-Berechtigungen erforderlich von SSM Agent

Beispiel

Das folgende Beispiel veranschaulicht, wie Zugriff auf die S3-Buckets erteilt wird, die in der Region USA Ost (Ohio) (us-east-2) für Systems Manager-Operationen benötigt werden. In den meisten Fällen müssen Sie diese Berechtigungen nur dann explizit in einem Instanzprofil oder einer Servicerolle angeben, wenn Sie einen VPC Endpunkt verwenden.

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": "s3:GetObject",
                "Resource": [
                    "arn:aws:s3:::aws-windows-downloads-us-east-2/*",
                    "arn:aws:s3:::amazon-ssm-us-east-2/*",
                    "arn:aws:s3:::amazon-ssm-packages-us-east-2/*",
                    "arn:aws:s3:::us-east-2-birdwatcher-prod/*",
                    "arn:aws:s3:::aws-ssm-document-attachments-us-east-2/*",
                    "arn:aws:s3:::aws-ssm-us-east-2/*",
                    "arn:aws:s3:::patch-baseline-snapshot-us-east-2/*",
                    "arn:aws:s3:::aws-patch-manager-us-east-2-552881074/*",
                    "arn:aws:s3:::aws-patchmanager-macos-us-east-2-552881074/*"
                ]
            }
        ]
    }

Validierung von hybrid-aktivierten Maschinen mit einem Hardware-Fingerabdruck

Wenn es sich nicht um EC2 Maschinen in einer Hybrid- und Multi-Cloud-Umgebung handelt, SSM Agent sammelt eine Reihe von Systemattributen (wird als Hardware-Hash bezeichnet) und verwendet diese Attribute, um einen Fingerabdruck zu berechnen. Der Fingerabdruck ist eine undurchsichtige Zeichenfolge, die der Agent an einen bestimmten Systems Manager APIs weitergibt. Dieser eindeutige Fingerabdruck ordnet den Abrufer einem bestimmten hybrid-aktivierten verwalteten Knoten zu. Der Agent speichert den Fingerabdruck und den Hardware-Hash auf der lokalen Festplatte an einem Speicherort namens Vault.

Der Agent berechnet den Hardware-Hash und den Fingerabdruck, wenn die Maschine für die Verwendung mit Systems Manager registriert wird. Anschließend wird der Fingerabdruck an den Systems Manager-Service zurückgegeben, wenn der Agent einen RegisterManagedInstance-Befehl sendet.

Später, wenn ein RequestManagedInstanceRoleToken-Befehl gesendet wird, überprüft der Agent den Fingerabdruck und den Hardware-Hash im Vault, um sicherzustellen, dass die aktuellen Computerattribute mit dem gespeicherten Hardware-Hash übereinstimmen. Wenn die aktuellen Computerattribute mit dem im Vault gespeicherten Hardware-Hash übereinstimmen, übergibt der Agent den Fingerabdruck aus dem Vault an RegisterManagedInstance, was zu einem erfolgreichen Aufruf führt.

Wenn die aktuellen Maschinenattribute nicht mit dem gespeicherten Hardware-Hash übereinstimmen, SSM Agent berechnet einen neuen Fingerabdruck, speichert den neuen Hardware-Hash und den neuen Fingerabdruck im Tresor und übergibt den neuen Fingerabdruck anRequestManagedInstanceRoleToken. Dadurch schlägt RequestManagedInstanceRoleToken fehl und der Agent kann kein Rollen-Token für die Verbindung mit dem Systems Manager-Service abrufen.

Dieser Fehler ist vorgesehen und wird als Verifizierungsschritt verwendet, um zu verhindern, dass mehrere verwaltete Knoten als derselbe verwaltete Knoten mit dem Systems-Manager-Service kommunizieren.

Beim Vergleich der aktuellen Computerattribute mit dem im Vault gespeicherten Hardware-Hash verwendet der Agent die folgende Logik, um festzustellen, ob die alten und neuen Hashes übereinstimmen:

Der Ähnlichkeitsschwellenwert wird im Vault als Teil des Hardware-Hash gespeichert.

Der Ähnlichkeitsschwellenwert kann festgelegt werden, nachdem eine Instance mit einem Befehl wie dem folgenden registriert wurde.

Auf Linux-Maschinen:

sudo amazon-ssm-agent -fingerprint -similarityThreshold 1

Ein Windows Server Maschinen, die Folgendes verwenden: PowerShell

cd "C:\Program Files\Amazon\SSM\" `
    .\amazon-ssm-agent.exe -fingerprint -similarityThreshold 1

SSM Agent on GitHub

Der Quellcode für SSM Agent ist verfügbar auf GitHubsodass Sie den Agenten an Ihre Bedürfnisse anpassen können. Wir möchten Sie bitten, uns eventuelle Änderungswünsche mitzuteilen. Jedoch Amazon Web Services bietet keine Unterstützung für die Ausführung modifizierter Kopien dieser Software.