Pengurus Sesi tanpa Port Terbuka

Session Manager, iaitu keupayaan AWS Systems Manager (SSM), memberikan anda akses cangkerang interaktif kepada tika EC2 dan pelayan di premis tanpa membuka sebarang port masuk. Memahami cara tepat ciri ini berfungsi ialah topik peperiksaan yang sangat penting kerana ia menjadi asas pentadbiran moden tanpa bastion.

Semuanya bermula dengan SSM Agent, iaitu perisian yang diprapasang pada kebanyakan AMI AWS (Amazon Machine Images). Ejen ini berjalan pada tika dan memulakan sambungan keluar kepada titik akhir perkhidmatan Systems Manager. Oleh sebab tika membuat sambungan keluar, tiada peraturan masuk diperlukan dan kumpulan keselamatan boleh menyekat semua trafik masuk.

Untuk membolehkan SSM berfungsi, tika memerlukan peranan IAM (melalui profil tika) yang memberikan keizinan Systems Manager, biasanya dasar terurus AmazonSSMManagedInstanceCore. Tanpa peranan ini, ejen tidak dapat mendaftar. Oleh itu, melampirkan peranan yang betul ialah langkah penyelesaian masalah pertama apabila tika tidak muncul sebagai nod terurus.

Session Manager berfungsi walaupun untuk tika dalam subnet persendirian tanpa IP awam. Ejen mencapai SSM sama ada melalui get laluan NAT atau, dengan lebih selamat, melalui titik akhir antara muka VPC (PrivateLink) untuk ssm, ssmmessages dan ec2messages. Titik akhir mengekalkan semua trafik dalam rangkaian AWS tanpa menyentuh internet.

Pengguna yang diberi kuasa memulakan sesi daripada konsol, CLI atau SDK. Arahan di bawah membuka cangkerang pada tika terurus tanpa melibatkan klien SSH, kunci atau port terbuka. IAM menentukan sama ada pengguna dibenarkan memulakan sesi itu.

Siapa yang boleh membuka sesi ditentukan sepenuhnya oleh dasar IAM pada tindakan ssm:StartSession. Anda boleh mengehadkan akses kepada tika tertentu mengikut tag, mengehadkan pengguna yang boleh menyambung dan mengehadkan dokumen SSM (jenis sesi) yang boleh digunakan. Ini menggantikan pengedaran kunci SSH dengan kawalan IAM berpusat yang boleh diaudit.

Corak yang berkuasa mengehadkan akses sesi mengikut tag tika. Dasar boleh membenarkan ssm:StartSession hanya pada tika yang ditag, contohnya Environment=Dev, supaya pembangun boleh mencapai mesin pembangunan tetapi tidak pernah mencapai pengeluaran. Kawalan berasaskan atribut ini berkembang dengan baik dan menguatkuasakan keistimewaan minimum tanpa dasar bagi setiap tika.

Data sesi disulitkan semasa transit menggunakan TLS, dan anda boleh mewajibkan penyulitan KMS untuk saluran sesi bagi jaminan tambahan. Digabungkan dengan ketiadaan port terbuka, ini bermakna trafik pentadbiran tidak kelihatan kepada internet serta dilindungi dari hujung ke hujung, sekali gus memenuhi keperluan pematuhan yang ketat.

Session Manager turut menyokong pemajuan port, iaitu membuat terowong daripada port pada mesin anda ke port pada tika (atau lebih jauh) melalui saluran SSM yang selamat. Ini membolehkan anda mencapai RDP atau pangkalan data tanpa mendedahkan port tersebut secara awam, sekali gus menghapuskan satu lagi sebab pasukan menggunakan bastion.

Model keselamatan ini amat meyakinkan: tiada port masuk untuk diserang, tiada kunci SSH untuk dibocorkan, kawalan akses berasaskan IAM, titik akhir persendirian pilihan dan penyulitan sepanjang proses. Setiap kelemahan akses jauh tradisional ditangani, sebab itulah peperiksaan menganggap Session Manager sebagai jawapan lalai untuk pentadbiran selamat.

Session Manager menggunakan SSM Agent keluar serta peranan tika dengan AmazonSSMManagedInstanceCore untuk menyediakan akses cangkerang dengan tiada port masuk, IP awam atau kunci. Akses dikawal oleh IAM (ssm:StartSession), dihadkan mengikut tag, disulitkan semasa transit dan boleh dicapai secara persendirian melalui titik akhir VPC. Ia juga menyokong pemajuan port yang selamat.

Session Manager memberikan akses cangkerang melalui SSM Agent keluar serta peranan tika (AmazonSSMManagedInstanceCore), tanpa memerlukan port masuk, IP awam atau kunci. Akses ditadbir oleh IAM (ssm:StartSession), dihadkan mengikut tag, disulitkan dengan TLS/KMS dan berfungsi secara persendirian melalui titik akhir VPC untuk ssm, ssmmessages dan ec2messages. Ia juga menyokong pemajuan port yang selamat.