【以下的问题经过翻译处理】 您好，

我们需要实现以下功能：

1. 在一个地方（中央化）创建/删除托管在多个帐户中的实例的ssh密钥对。
2. 为我们要ssh访问的用户分配权限，例如：IAM -管理员用户应该有管理员ssh密钥，这将在用户所在的虚拟机中提供完全的读/写权限，而IAM -只读用户应该有只读SSH密钥，这将提供较少的权限。
 "AWS system manager" - "session manager" 看起来似乎适合我们，但它适用于托管在多个帐户中的实例吗？

如何进行多个账户的SSH密钥管理？

【以下的问题经过翻译处理】 您好，

我的第一个问题-<https://repost.aws/questions/QUS8M4w0jkS8iV6EzPmaRmag/ssh-key-managment-for-multiple-accounts>

我正在尝试使用“AWS系统管理器”-“会话管理器”。正如我在之前的问题中建议的那样，为了能够登录到位于多个帐户中的EC2实例，我需要做类似于<https://aws.amazon.com/blogs/mt/vr-beneficios-session-manager/>的操作。

但问题是，我需要为每个IAM用户在EC2实例中拥有自己的用户，如我所发现的，我需要传递带有用户名值的标记“SSMSessionRunAs”。但是，如果我使用“组”角色（分配给多个用户的角色），则它们将使用EC2实例中的相同用户进行身份验证，对我来说这是行不通的。这是否意味着在我的情况下，我需要为每个IAM用户创建一个角色？还是可以根据用户使用此角色更改标记？

非常感谢。

Joann

角色 - 根据用户扮演角色改变标签

【以下的问题经过翻译处理】 我需要为多个IAM用户分配SSH密钥对到EC2实例。所以我想要的是：

IAM用户 `[user1，user2，user3]`，其中`[user1，user2]`应具有单独（每个IAM用户应该有其自己的VM用户）的SSH访问`[VM-1，VM-2]` EC2实例，而`[user3]`应只能访问`[VM-3]`实例。

我需要生成SSH密钥对，在EC2实例内创建用户，手动为这些用户分配权限，然后手动将这些SSH公钥添加到EC2实例中吗？或者AWS有一个可以为我自动完成的服务吗？

多用户SSH密钥管理

【以下的问题经过翻译处理】 你好，

我已经成功配置了AWS会话管理器，以便使用SSH密钥通过会话管理通道进行连接，具体方法见此文档-> <https://docs.aws.amazon.com/systems-manager/latest/userguide/session-manager-getting-started-enable-ssh-connections.html>。

但是现在我需要强制用户提供SSH密钥，因为即使我可以使用SSH密钥身份验证进入EC2实例，我仍然能够通过使用 `aws ssm start-session` 命令而不提供SSH密钥进行连接。

我认为可以添加某种策略来解决这个问题，类似于以下内容：

```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::accountid:user/test-user"
            },
            "Action": [
                "ssm:TerminateSession",
                "ssm:ResumeSession"
            ],
            "Condition": {
                "StringEquals": {
                    "ssm:StartSession/RequireSSH": "True" （此处参数由我设定） 
                }
            }
        }
    ]
}
```

但我不确定 `"ssm:StartSession/RequireSSH": "True"` 的位置应该填什么。

谢谢帮忙。

Joann

AWS会话管理器，强制要求SSH密钥。

【以下的问题经过翻译处理】 我无法通过会话管理器连接公共子网中的实例。实例部署所在的子网设置了“0.0.0.0/0”以连接互联网的网关。安全组没有入站规则，出站规则为“允许”“0.0.0.0/0”。
实例配置文件具有AmazonSSMManagedInstanceCore托管策略，并且该实例位于具有允许所有出站请求的互联网网关和安全组的公共子网上，并且正在运行AmazonLinux2，因此应该已安装SSM代理。我甚至添加了一个UserData命令来安装最新的代理，但这并没有改变任何事情。


从控制台中，我看到以下错误消息：


> 
> ** 我们无法连接到您的实例。出现此问题的常见原因包括：**
> 
> 
> * 实例上未安装SSM代理。您可以在[Windows实例](https://docs.aws.amazon.com/en_us/console/systems-manager/agent-windows)和[Linux实例](https://docs.aws.amazon.com/en_us/console/systems-manager/agent-linux)上安装代理。
> * 实例缺少所需的[IAM实例配置文件](https://docs.aws.amazon.com/en_us/console/systems-manager/qs-instance-profile)。您可以使用[AWS Systems Manager Quick Setup](https://docs.aws.amazon.com/en_us/console/systems-manager/qs-quick-setup)附加配置文件。
> * 会话管理器设置不完整。有关更多信息，请参见[会话管理器先决条件。](https://docs.aws.amazon.com/en_us/console/systems-manager/session-manager-prerequisites)
> 
> 
> 


以下是复制问题的CDK代码示例：


```

const region = 'us-east-2'

const myInstanceRole = new Role(this, 'MyRole', {
  assumedBy: new ServicePrincipal('ec2.amazonaws.com'),
})
myInstanceRole.addManagedPolicy(
  ManagedPolicy.fromAwsManagedPolicyName('AmazonSSMManagedInstanceCore')
)

const myUserData = UserData.forLinux()
myUserData.addCommands(
  `sudo yum install -y https://s3.${region}.amazonaws.com/amazon-ssm-${region}/latest/linux_amd64/amazon-ssm-agent.rpm`,
  'sudo systemctl restart amazon-ssm-agent',
)

const myInstance = new Instance(this, 'MyInstance', {
  instanceType: InstanceType.of(InstanceClass.C6I, InstanceSize.LARGE),
  machineImage: MachineImage.latestAmazonLinux({
    generation: AmazonLinuxGeneration.AMAZON_LINUX_2,
    cpuType: AmazonLinuxCpuType.X86_64,
  }),
  vpc: Vpc.fromLookup(this, 'ControlTowerVPC', {
    vpcName: 'aws-controltower-VPC',
  }),
  vpcSubnets: {
    subnetType: SubnetType.PUBLIC,
  },
  blockDevices: [
    {
      deviceName: '/dev/xvda',
      volume: BlockDeviceVolume.ebs(30, {
        volumeType: EbsDeviceVolumeType.GP2,
        encrypted: true,
      }),
    },
  ],
  userData: myUserData,
  role: myInstanceRole,
  detailedMonitoring: true,
})

```

会话管理器何如连接到公共子网中的实例？

【以下的问题经过翻译处理】 你好，我需要将每个IAM用户连接到他们自己的EKS Pod系统用户。

我知道可以使用 `aws eks --region region update-kubeconfig --name cluster_name` + `kubectl exec --stdin --tty pod/test -- /bin/bash` 命令来访问托管在AWS EKS中的Pod的"终端访问"。

但它总是给我 `root` 用户，我该如何定义通过哪个用户进行身份验证？而且，是否可以定义哪些IAM用户有权访问哪些Pod系统用户？

我知道可以使用SSH密钥或通过在EC2实例上使用Tag `SSMSessionRunAs`定义用户名，在 `系统管理-会话管理器` 中执行我所需要的操作，但这在EKS中是否也适用？

Joann

将IAM用户与EKS pod中的系统用户连接

【以下的问题经过翻译处理】 我有一个需求，让客户通过会话管理器访问ec2 linux实例，但是登录后，用户是ssm-user，有没有办法自动切换为ec2-user。这意味着客户不需要手动切换到ec2-user？

All Content tagged with 会话管理

如何进行多个账户的SSH密钥管理？

角色 - 根据用户扮演角色改变标签

多用户SSH密钥管理

AWS会话管理器，强制要求SSH密钥。

会话管理器何如连接到公共子网中的实例？

将IAM用户与EKS pod中的系统用户连接

如何在通过Session Manager访问AWS Linux EC2时自动切换到ec2-user用户？

All Content tagged with 会话管理

如何进行多个账户的SSH密钥管理？lg...

角色 - 根据用户扮演角色改变标签lg...

多用户SSH密钥管理lg...

AWS会话管理器，强制要求SSH密钥。lg...

会话管理器何如连接到公共子网中的实例？lg...

将IAM用户与EKS pod中的系统用户连接lg...

如何在通过Session Manager访问AWS Linux EC2时自动切换到ec2-user用户？lg...

如何进行多个账户的SSH密钥管理？

角色 - 根据用户扮演角色改变标签

多用户SSH密钥管理

AWS会话管理器，强制要求SSH密钥。

会话管理器何如连接到公共子网中的实例？

将IAM用户与EKS pod中的系统用户连接

如何在通过Session Manager访问AWS Linux EC2时自动切换到ec2-user用户？