Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de l'accès à la console EC2 série

Pour configurer l'accès à la console série, vous devez accorder l'accès à la console série au niveau du compte, puis configurer des IAM politiques pour accorder l'accès à vos utilisateurs. Pour les instances Linux, vous devez également configurer un utilisateur basé sur un mot de passe pour chaque instance afin que vos utilisateurs puissent utiliser la console série pour le dépannage.

Avant de commencer, assurez-vous de vérifier les conditions préalables.

Niveaux d'accès à la console EC2 série

Par défaut, il n'est pas possible d'accéder à la console série au niveau du compte. Vous devez accorder explicitement l'accès à la console série au niveau du compte. Pour de plus amples informations, veuillez consulter Gérer l'accès du compte à la console EC2 série.

Vous pouvez utiliser une politique de contrôle des services (SCP) pour autoriser l'accès à la console série au sein de votre organisation. Vous pouvez ensuite avoir un contrôle d'accès granulaire au niveau de l'utilisateur en utilisant une IAM politique de contrôle d'accès. En utilisant une combinaison de IAM politiques SCP et, vous disposez de différents niveaux de contrôle d'accès à la console série.

Gérer l'accès du compte à la console EC2 série

Par défaut, il n'est pas possible d'accéder à la console série au niveau du compte. Vous devez accorder explicitement l'accès à la console série au niveau du compte.

Autoriser les utilisateurs à gérer l'accès du compte

Pour permettre à vos utilisateurs de gérer l'accès de leur compte à la console EC2 série, vous devez leur accorder les IAM autorisations requises.

La politique suivante accorde des autorisations pour consulter l'état du compte, ainsi que pour autoriser ou empêcher l'accès du compte à la console EC2 série.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:GetSerialConsoleAccessStatus",
                "ec2:EnableSerialConsoleAccess",
                "ec2:DisableSerialConsoleAccess"
            ],
            "Resource": "*"
        }
    ]
}

Pour plus d'informations, consultez la section Création IAM de politiques dans le guide de IAM l'utilisateur.

Afficher l'état de l'accès du compte à la console série

Pour afficher l'état d'accès du compte à la console série (AWS CLI)

Utilisez la commande get-serial-console-access-status pour afficher l'état d'accès du compte à la console série.

aws ec2 get-serial-console-access-status --region us-east-1

Dans le résultat suivant, true indique que le compte est autorisé à accéder à la console série.

{
    "SerialConsoleAccessEnabled": true
}

Autoriser le compte à accéder à la console série

Pour autoriser le compte à accéder à la console série (AWS CLI)

Utilisez la enable-serial-console-accesscommande pour autoriser l'accès du compte à la console série.

aws ec2 enable-serial-console-access --region us-east-1

Dans le résultat suivant, true indique que le compte est autorisé à accéder à la console série.

{
    "SerialConsoleAccessEnabled": true
}

Interdire au compte l'accès à la console série

Pour interdire au compte l'accès à la console série (AWS CLI)

Utilisez la disable-serial-console-accesscommande pour empêcher l'accès du compte à la console série.

aws ec2 disable-serial-console-access --region us-east-1

Dans le résultat suivant, false indique que le compte n'est pas autorisé à accéder à la console série.

{
    "SerialConsoleAccessEnabled": false
}

Configuration IAM des politiques d'accès à la console EC2 série

Par défaut, vos utilisateurs n'ont pas accès à la console série. Votre organisation doit configurer IAM des politiques pour accorder à vos utilisateurs l'accès requis. Pour plus d'informations, consultez la section Création IAM de politiques dans le guide de IAM l'utilisateur.

Pour accéder à la console série, créez un document de JSON politique qui inclut l'ec2-instance-connect:SendSerialConsoleSSHPublicKeyaction. Cette action accorde à un utilisateur l'autorisation d'envoyer la clé publique en mode push au service de console série, qui démarre une session de console série. Nous recommandons de restreindre l'accès à des EC2 instances spécifiques. Sinon, tous les utilisateurs disposant de cette autorisation peuvent se connecter à la console série de toutes les EC2 instances.

Autoriser explicitement l'accès à la console série

Par défaut, personne n'a accès à la console série. Pour accorder l'accès à la console série, vous devez configurer une politique pour autoriser explicitement cet accès. Nous vous recommandons de configurer une politique qui restreint l'accès à des instances spécifiques.

La politique suivante permet d'accéder à la console série d'une instance spécifique, identifiée par son ID d'instance.

Notez que les actions DescribeInstances, DescribeInstanceTypes et GetSerialConsoleAccessStatus ne prennent pas en charge les autorisations au niveau des ressources. Par conséquent, toutes les ressources, indiquées par un astérisque *, doivent être spécifiées pour ces actions.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDescribeInstances",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceTypes",
                "ec2:GetSerialConsoleAccessStatus"
            ],
             "Resource": "*"
        },
        {
            "Sid": "AllowinstanceBasedSerialConsoleAccess",
            "Effect": "Allow",
            "Action": [
                "ec2-instance-connect:SendSerialConsoleSSHPublicKey"
            ],
            "Resource": "arn:aws:ec2:region:account-id:instance/i-0598c7d356eba48d7"
        }
    ]
}

Refuser explicitement l'accès à la console série

La IAM politique suivante autorise l'accès à la console série de toutes les instances, désignée par un * (astérisque), et refuse explicitement l'accès à la console série d'une instance spécifique, identifiée par son identifiant.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSerialConsoleAccess",
            "Effect": "Allow",
            "Action": [
                "ec2-instance-connect:SendSerialConsoleSSHPublicKey",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceTypes",
                "ec2:GetSerialConsoleAccessStatus"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DenySerialConsoleAccess",
            "Effect": "Deny",
            "Action": [
                "ec2-instance-connect:SendSerialConsoleSSHPublicKey"
            ],
            "Resource": "arn:aws:ec2:region:account-id:instance/i-0598c7d356eba48d7"
        }
    ]
}

Utiliser des balises de ressources pour contrôler l'accès à la console série

Vous pouvez utiliser des balises de ressource pour contrôler l'accès à la console série d'une instance.

Le contrôle d'accès basé sur les attributs est une stratégie d'autorisation qui définit les autorisations en fonction de balises pouvant être associées aux utilisateurs et AWS aux ressources. Par exemple, la politique suivante permet à un utilisateur d'initier une connexion à la console série pour une seule instance si la balise de ressource de cette instance et la balise du principal possèdent la même valeur SerialConsole en clé de balise.

Pour plus d'informations sur l'utilisation de balises pour contrôler l'accès à vos AWS ressources, consultez la section Contrôle de l'accès aux AWS ressources dans le Guide de IAM l'utilisateur.

Notez que les actions DescribeInstances, DescribeInstanceTypes et GetSerialConsoleAccessStatus ne prennent pas en charge les autorisations au niveau des ressources. Par conséquent, toutes les ressources, indiquées par un astérisque *, doivent être spécifiées pour ces actions.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDescribeInstances",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceTypes",
                "ec2:GetSerialConsoleAccessStatus"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowTagBasedSerialConsoleAccess",
            "Effect": "Allow",
            "Action": [
                "ec2-instance-connect:SendSerialConsoleSSHPublicKey"
            ],
            "Resource": "arn:aws:ec2:region:account-id:instance/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/SerialConsole": "${aws:PrincipalTag/SerialConsole}"
                }
            }
        }
    ]
}

Définir un mot de passe utilisateur du système d'exploitation sur une instance Linux

Vous pouvez vous connecter à la console série sans mot de passe. Toutefois, pour utiliser la console série pour le dépannage d'une instance Linux, celle-ci doit disposer d'un utilisateur du système d'exploitation basé sur un mot de passe.

Vous pouvez définir le mot de passe pour n'importe quel utilisateur du système d'exploitation, y compris l'utilisateur racine. Notez que l'utilisateur racine peut modifier tous les fichiers, tandis que chaque utilisateur du système d'exploitation peut avoir des autorisations limitées.

Vous devez définir un mot de passe utilisateur pour chaque instance pour laquelle vous utilisez la console série. Vous n'aurez besoin d'effectuer cette opération qu'une seule fois pour chaque instance.