Comment puis-je utiliser le Gestionnaire de session pour contrôler l'accès à mes instances ?

Brève description

Utilisez le Gestionnaire de session pour gérer votre instance Amazon Elastic Compute Cloud (Amazon EC2) ou votre instance sur site. Le Gestionnaire de session se connecte via un shell basé sur un navigateur ou via l'interface de ligne de commande AWS (AWS CLI).

Utilisez les politiques de gestion des identités et des accès (IAM) pour contrôler les utilisateurs qui peuvent utiliser le Gestionnaire de session pour accéder à l'instance. La politique IAM contrôle également les actions d'API que les utilisateurs peuvent effectuer.

Remarque : Si des erreurs surviennent lorsque vous exécutez des commandes AWS CLI, consultez l’article Résoudre les erreurs de l’AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l'AWS CLI.

Prérequis :

• Complétez les prérequis du Gestionnaire de session.
• Vérifiez ou créez un profil d'instance IAM avec les autorisations du Gestionnaire de session.
• Installez le plug-in Gestionnaire de session pour l'interface de ligne de commande AWS.

Résolution

Pour permettre aux utilisateurs de se connecter au Gestionnaire de session, créez d'abord une politique IAM qui accorde à StartSession l’accès à l'utilisateur IAM. Puis, attachez la stratégie IAM à l’utilisateur IAM.

Procédez comme suit :

1. Ouvrez la console IAM.
2. Dans le volet de navigation, sous Gestion des accès, choisissez Politiques.
3. Sélectionnez Créer une stratégie, puis choisissez l’onglet JSON.
4. Copiez l'exemple de document JSON Restreindre l'accès à des nœuds gérés spécifiques, puis saisissez la politique dans l'onglet JSON de la console.
   Important : L'ARN de la ressource dans l'exemple de politique utilise la région AWS us-east-2, et inclut des espaces réservés pour l’ID d’instance et l’ID de compte. Remplacez ces valeurs par les vôtres.
5. Sélectionnez Suivant.
6. Sur la page Vérifier et créer, saisissez les informations suivantes :
   Dans Nom de la politique, saisissez le nom de votre politique.
   (Facultatif) Dans Description, saisissez une description pour la politique.
7. Sélectionnez Créer une politique.
8. Attachez la stratégie IAM à l’utilisateur.

Les utilisateurs qui y ont accès peuvent exécuter la commande suivante pour lancer l'appel d'API start-session :

aws ssm start-session --target instance-id

Remarque : Remplacez instance-id par l'ID d'instance pour lequel l'utilisateur souhaite démarrer une session.

Pour permettre aux utilisateurs de démarrer une session à l’aide de la console Amazon EC2, associez les politiques gérées par AWS suivantes à l'utilisateur :

• AmazonSSMReadOnlyAccess
• AmazonEC2ReadOnlyAccess

Informations connexes

Exemples de politiques IAM supplémentaires pour le Gestionnaire de session

Démarrer une session

Créer des politiques IAM (console)

Comment AWS Systems Manager fonctionne avec IAM

Politiques gérées par AWS Systems Manager