View a markdown version of this page

Avvia una sessione di accesso ai nodi just-in-time - AWS Systems Manager
Consentire l'accesso alla rete locale nel browser

• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione di Amazon CloudWatch Dashboard.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Avvia una sessione di accesso ai nodi just-in-time

Dopo aver abilitato e configurato l'accesso ai nodi just-in-time e le preferenze di sessione e notifica, gli utenti sono pronti per avviare sessioni di accesso ai nodi just-in-time. È possibile avviare le sessioni utilizzando l'accesso al nodo just-in-time dalla console di Systems Manager o AWS Command Line Interface utilizzando il Session Manager plug-in. Just-in-time le sessioni di accesso ai nodi possono essere avviate su nodi nello stesso account e nella stessa regione. Le procedure seguenti descrivono come avviare sessioni con accesso ai nodi just-in-time.

Nota

Se in precedenza gli utenti utilizzavano Session Manager per connettersi ai nodi, è necessario rimuovere le autorizzazioni di Session Manager, ad esempio ssm:StartSession, dalle policy IAM, per avviare sessioni utilizzando l'accesso ai nodi just-in-time. In caso contrario, continueranno a utilizzare Session Manager durante la connessione ai nodi.

Per avviare una sessione con accesso ai nodi just-in-time utilizzando la console

  1. Apri la AWS Systems Manager console all'indirizzo https://console.aws.amazon.com/systems-manager/.

  2. Nel riquadro di navigazione, seleziona Esplora nodi.

  3. Scegli il nodo a cui desideri connetterti.

  4. Nel menu a discesa Azioni, seleziona Connettiti.

Se le policy di approvazione della tua organizzazione non ti consentono di connetterti automaticamente al nodo, ti verrà richiesto di inviare una richiesta di accesso. Dopo aver compilato le informazioni richieste e inviato la richiesta di accesso, potrai avviare le sessioni sul nodo, una volta ricevute tutte le approvazioni richieste.

Per avviare una sessione con accesso istantaneo al nodo utilizzando AWS CLI

  1. Esegui il comando seguente per avviare il flusso di lavoro della richiesta di accesso, assicurandoti di sostituirlo placeholder values con le tue informazioni.

    aws ssm start-access-request \
    --targets  Key=InstanceIds,Values=i-02573cafcfEXAMPLE
    --reason "Troubleshooting networking performance issue"

    A seconda delle policy di approvazione della tua organizzazione o verrai connesso automaticamente al nodo o verrà avviato il processo di approvazione manuale. Per le richieste che richiedono l'approvazione manuale, annota l'ID della richiesta di accesso restituita nella risposta.

  2. Attendi che vengano fornite tutte le approvazioni richieste.

  3. Dopo aver fornito tutte le approvazioni richieste, esegui il comando seguente per ottenere un token di accesso contenente credenziali temporanee. Sostituisci placeholder values con le informazioni appropriate.

    aws ssm get-access-token \
    --access-request-id oi-12345abcdef

    Annota il token di accesso restituito nella risposta.

  4. Esegui il comando seguente per utilizzare le credenziali temporanee in AWS CLI, assicurandoti di sostituirle placeholder values con le tue informazioni.

    export AWS_SESSION_TOKEN=AQoDYXdzEJr...<remainder of session token>

  5. Esegui il comando seguente per avviare una sessione sul nodo, assicurandoti di sostituirla placeholder values con le tue informazioni.

    aws ssm start-session \
    --target i-02573cafcfEXAMPLE

Consentire l'accesso alla rete locale nel browser

Se accedi alla console di Systems Manager tramite un'interfaccia Amazon VPC endpoint con DNS privato abilitato, il tuo browser potrebbe bloccare la schermata di richiesta di accesso. Quando il DNS privato è abilitato, l'endpoint di Systems Manager per te si Regione AWS risolve in un indirizzo IP privato nel tuo VPC. Poiché la console viene servita da un indirizzo pubblico, i browser considerano le richieste a quell'indirizzo IP privato come richieste di rete locale. I browser bloccano queste richieste a meno che tu non conceda alla console l'autorizzazione per effettuarle. Questo comportamento è noto come Local Network Access (LNA) e in precedenza era chiamato Private Network Access (PNA).

Quando il browser blocca queste richieste, viene visualizzato il seguente comportamento:

  • Scegli Connetti, ma la schermata di richiesta di accesso non si apre e la connessione non riesce.

  • Le richieste bloccate non vengono visualizzate nella cronologia AWS CloudTrail degli eventi, perché il browser le blocca prima che arrivino AWS.

Ti consigliamo di concedere l'autorizzazione solo per l'indirizzo della console, invece di disattivare le protezioni della rete locale per tutti i siti web. Per consentire richieste di accesso ai nodi just-in-time in questa configurazione, utilizza uno dei seguenti metodi:

  • Per Chromium-based i browser, ad esempio Google Chrome eMicrosoft Edge, aggiungi l'indirizzo della console all'elenco del browser dei siti autorizzati ad accedere alla rete locale. Negli ambienti gestiti, l'amministratore può configurarlo utilizzando le policy aziendali del browser, come la Microsoft Edge LocalNetworkAccessAllowedForUrls policy. Se il browser ti chiede di consentire l'accesso alla rete locale quando scegli Connetti, scegli di consentire la richiesta.

  • PerMozilla Firefox, consenti l'accesso alla rete locale per l'indirizzo della console.

Per ulteriori informazioni sulla configurazione di queste autorizzazioni, consulta la documentazione del browser. In alternativa, è possibile accedere alla console da un percorso di rete in cui l'endpoint di Systems Manager si risolve in un indirizzo IP pubblico.

Importante

Alcuni browser forniscono un'impostazione che disattiva le protezioni della rete locale per tutti i siti Web. Poiché questa impostazione riduce la protezione della rete locale, non la consigliamo. Se la usi per testare questo comportamento, rivedi la modifica rispetto ai requisiti di sicurezza della tua organizzazione e ripristinala quando hai finito.