Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

IAMKebijakan sampel tambahan untuk Session Manager

Lihat kebijakan contoh berikut untuk membantu Anda membuat kebijakan AWS Identity and Access Management (IAM) khusus untuk setiap kebijakan Session Manager skenario akses pengguna yang ingin Anda dukung.

Contoh 1: Berikan akses ke dokumen di konsol

Anda dapat mengizinkan pengguna menentukan dokumen kustom saat mereka meluncurkan sesi menggunakan konsol Pengelola Sesi. Contoh IAM kebijakan berikut memberikan izin untuk mengakses dokumen dengan nama yang dimulai dengan SessionDocument- yang ditentukan Wilayah AWS dan Akun AWS.

Untuk menggunakan kebijakan ini, ganti example resource placeholder dengan informasi Anda sendiri.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetDocument",
                "ssm:ListDocuments"
            ],
            "Resource": [
                "arn:aws:ssm:region:account-id:document/SessionDocument-*"
                
            ]
        }
    ]
}

Contoh 2: Batasi akses ke simpul tertentu yang dikelola

Anda dapat membuat IAM kebijakan yang menentukan node terkelola yang diizinkan untuk disambungkan oleh pengguna menggunakan Pengelola Sesi. Misalnya, kebijakan berikut memberi pengguna izin untuk memulai, mengakhiri, dan melanjutkan sesi mereka pada tiga node tertentu. Kebijakan membatasi pengguna untuk menyambung ke node selain yang ditentukan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:us-east-2:123456789012:instance/i-1234567890EXAMPLE",
                "arn:aws:ec2:us-east-2:123456789012:instance/i-abcdefghijEXAMPLE",
                "arn:aws:ec2:us-east-2:123456789012:instance/i-0e9d8c7b6aEXAMPLE",
                "arn:aws:ssm:us-east-2:123456789012:document/SSM-SessionManagerRunShell"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:TerminateSession",
                "ssm:ResumeSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:session/${aws:userid}-*"
            ]
        }
    ]
}

Contoh 3: Batasi akses berdasarkan tanda

Anda dapat membatasi akses ke simpul terkelola berdasarkan tanda tertentu. Dalam contoh berikut, pengguna diizinkan untuk memulai dan melanjutkan sesi (Effect: Allow, Action: ssm:StartSession, ssm:ResumeSession) pada setiap node terkelola (Resource: arn:aws:ec2:region:987654321098:instance/*) dengan syarat bahwa node tersebut adalah Finance WebServer (ssm:resourceTag/Finance: WebServer). Jika pengguna mengirimkan perintah ke simpul terkelola yang tidak ditandai atau yang memiliki tanda selain tanda selainFinance: WebServer, hasil perintah akan mencakupAccessDenied.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:us-east-2:123456789012:instance/*"
            ],
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/Finance": [
                        "WebServers"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:TerminateSession",
                "ssm:ResumeSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:session/${aws:userid}-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-2:123456789012:document/SSM-SessionManagerRunShell"
            ]
        }
    ]
}

Anda dapat membuat IAM kebijakan yang mengizinkan pengguna untuk memulai sesi ke simpul terkelola yang ditandai beberapa tanda. Kebijakan berikut mengizinkan pengguna untuk memulai sesi ke simpul terkelola yang memiliki kedua tanda tertentu yang diterapkan untuk mereka. Jika pengguna mengirimkan perintah ke simpul terkelola yang tidak ditandai kedua tanda ini, hasil perintah akan mencakupAccessDenied.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "ssm:StartSession"
         ],
         "Resource":"*",
         "Condition":{
            "StringLike":{
               "ssm:resourceTag/tag-key1":[
                  "tag-value1"
               ],
               "ssm:resourceTag/tag-key2":[
                  "tag-value2"
               ]
            }
         }
      },
      {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-2:123456789012:document/SSM-SessionManagerRunShell"
            ]
      }
   ]
}

Untuk informasi selengkapnya tentang membuat IAM kebijakan, lihat Kebijakan Terkelola dan Kebijakan Inline dalam Panduan IAM Pengguna. Untuk informasi selengkapnya tentang menandai node terkelola, lihat Menandai EC2 sumber daya Amazon Anda di Panduan EC2 Pengguna Amazon (konten berlaku untuk Windows and Linux simpul terkelola). Untuk informasi selengkapnya tentang meningkatkan postur keamanan Anda terhadap perintah tingkat root yang tidak sah di simpul terkelola Anda, lihat Membatasi akses ke perintah tingkat root melalui SSM Agent

Contoh 4: Izinkan pengguna untuk mengakhiri hanya sesi yang mereka mulai

Session Manager menyediakan dua metode untuk mengontrol sesi mana yang boleh diakhiri oleh pengguna federasi di Anda Akun AWS .

Metode 1: Berikan TerminateSession hak istimewa menggunakan variabel {aws:username}

IAMKebijakan berikut mengizinkan pengguna untuk melihat semua sesi di akun Anda. IDs Namun, pengguna dapat berinteraksi dengan simpul terkelola hanya melalui sesi yang mereka mulai. Pengguna yang ditetapkan kebijakan berikut tidak dapat terhubung ke atau mengakhiri sesi pengguna lain. Kebijakan menggunakan {aws:username} variabel untuk mencapai hal ini.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ssm:DescribeSessions"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Action": [
                "ssm:TerminateSession"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:ssm:*:*:session/${aws:username}-*"
            ]
        }
    ]
}

Metode 2: Berikan TerminateSession hak istimewa menggunakan tanda yang disediakan oleh AWS

Anda dapat mengontrol sesi mana yang dapat diakhiri oleh pengguna dengan memasukkan variabel kunci tanda kondisional dalam IAM kebijakan. Ketentuan menetapkan bahwa pengguna hanya dapat mengakhiri sesi yang ditandai dengan salah satu atau kedua variabel kunci tanda tertentu dan nilai tertentu ini.

Saat pengguna Akun AWS memulai sesi, Session Manager menerapkan dua tag sumber daya ke sesi. Tanda sumber daya pertama adalah aws:ssmmessages:target-id, yang dengannya Anda menentukan ID target yang diizinkan untuk diakhiri oleh pengguna. Tag sumber daya lainnya adalah aws:ssmmessages:session-id, dengan nilai dalam format role-id:caller-specified-role-name.

Contoh 5: Izinkan akses penuh (administratif) ke semua sesi

IAMKebijakan berikut mengizinkan pengguna untuk sepenuhnya berinteraksi dengan semua simpul terkelola dan semua sesi yang dibuat oleh semua pengguna untuk semua simpul. Izin harus diberikan hanya untuk Administrator yang membutuhkan kontrol penuh atas organisasi Anda. Session Manager Aktivitas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ssm:StartSession",
                "ssm:TerminateSession",
                "ssm:ResumeSession",
                "ssm:DescribeSessions",
                "ssm:GetConnectionStatus"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        }
    ]
}