Comment utiliser le transfert de port du Gestionnaire de session d’AWS Systems Manager sans hôte bastion pour me connecter à mon instance EC2 via RDP ?

Résolution

La redirection de port est une fonctionnalité de Systems Manager Session Manager. Cette fonctionnalité vous permet de créer des tunnels entre votre système local et des instances déployées dans des sous-réseaux privés. Vous n'avez pas besoin d'ouvrir les ports entrants ni de configurer les hôtes Bastion. Vous pouvez utiliser cette fonctionnalité pour vous connecter à vos instances Windows Amazon EC2 via RDP lorsque l'accès entrant est bloqué sur les groupes de sécurité.

Remarque : Si vous recevez des erreurs lors de l'exécution des commandes de l'interface de la ligne de commande AWS (AWS CLI), assurez-vous que vous utilisez la version la plus récente de l'interface de ligne de commande AWS.

Vérifiez les prérequis

Prérequis :

• Vous avez installé la version 1.16.12 ou ultérieure de l'interface de ligne de commande AWS sur votre ordinateur local et l'avez configuré avec les autorisations requises pour le gestionnaire de session.
• Vous avez installé le plug-in Session Manager spécifique à votre système d'exploitation sur votre ordinateur local.
• L'instance EC2 cible est gérée par AWS Systems Manager. Pour plus d'informations, consultez les prérequis de Systems Manager.
• L'agent AWS Systems Manager (agent SSM) version 2.3.672.0 ou ultérieure est installé et en cours d'exécution.

Établissez la connexion

1.    Établissez la session de redirection de port depuis votre ordinateur local vers l'instance EC2 :

Exécutez la commande suivante sur votre ordinateur local :

aws ssm start-session --target <instanceid> --document-name AWS-StartPortForwardingSession --parameters "localPortNumber=55678,portNumber=3389"

Cela permet d'établir un tunnel entre le port 55678 de votre ordinateur local et le port 3389 (port RDP) de l'instance EC2 distante.

Cette commande suppose également que le système d'exploitation de l'instance EC2 est configuré pour accepter les connexions RDP sur le port par défaut 3389. Remplacez les valeurs de localPortNumber et de portNumber par vos valeurs.

Si la connexion à votre session est réussie, le message suivant s'affiche :

Starting session with SessionId: xxxxx-01234567891011abc
Port 55678 opened for sessionId xxxxx-01234567891011abc
Waiting for connections...

2.    Utilisez le tunnel pour vous connecter à l'instance EC2 distante via RDP :

À l'aide d'un client RDP local, connectez-vous à localhost:55678. Cela transfère le trafic vers le port distant 3389 de l'instance EC2.

Après la connexion à la session RDP, l'interface de ligne de commande AWS indique que la connexion est établie via le tunnel avec le message suivant :

Connection accepted for session [xxxxx-01234567891011abc]

3.    Mettez fin à la session de redirection de port :

Après avoir fermé la session RDP, appuyez sur Ctrl + C sur l'interface de ligne de commande AWS pour mettre fin à la session de transfert de port. Vous pouvez également mettre fin à la session depuis la console AWS Systems Manager.

Un message similaire au suivant s'affiche :

Terminate signal received, exiting.  
Exiting session with sessionId: xxxxx-01234567891011abc.

Résoudre les problèmes de connexion

Si votre session ne parvient pas à se connecter, cela peut être dû aux raisons suivantes :

• Autorisations insuffisantes (AccessDeniedException) : Vérifiez que l'utilisateur qui ouvre la session dispose des autorisations nécessaires pour accéder au Gestionnaire de session.
• Instance non connectée (TargetNotConnected) : Le nœud cible spécifié n'est pas configuré pour le Gestionnaire de session. Vérifiez que le nœud cible est entièrement configuré pour Session Manager et qu'il affiche des rapports en ligne dans la console Systems Manager Fleet Manager. Pour plus d'informations, voir Nœud géré non disponible ou non configuré pour le Gestionnaire de session. Cette erreur se produit également si vous essayez de démarrer une session sur un nœud géré situé dans un autre compte AWS ou une autre région AWS.
• Plug-in du gestionnaire de session introuvable : Assurez-vous que le plug-in Session Manager est installé sur votre ordinateur local. Pour plus d'informations, consultez section Installer le plug-in Session Manager pour l'AWS CLI.
• La session se connecte correctement, mais le client RDP ne peut pas se connecter : Vérifiez si le port RDP par défaut a été modifié dans l'instance cible. Remplacez la valeur du paramètre portNumber par votre valeur. Pour plus d'informations, consultez la section Vérifier le port d'écoute RDP sur le site Web de Microsoft.

Pour plus d'informations, consultez la section Résolution des problèmes liés au gestionnaire de session.