审计并记录管理员会话

授予管理访问权限只是工作的一半；您还必须记录管理员执行的操作。Session Manager 提供详细的日志记录，因此每条命令和每个会话都可追溯。SCS-C02 考试强调，这种可审计性是其相对于 SSH 的核心优势，因为 SSH 很难集中记录命令级别的操作。

Session Manager 的日志记录分为两层：第一层是由 CloudTrail 捕获的API 级日志，记录谁启动和停止了会话；第二层是会话内容日志，记录实际的按键和输出，并发送到 CloudWatch Logs 或 S3。两者结合后，可以同时回答“谁连接了”和“他们做了什么”。

CloudTrail 会记录 StartSession 和 TerminateSession API 调用，显示哪个 IAM 身份连接到了哪个实例，以及连接发生的时间。由于这些属于管理事件，它们会自动出现在您的跟踪中，为调查提供可靠且可检测篡改的管理访问记录。

如需捕获会话中的命令和输出，您可以在会话管理器首选项中启用会话记录，并将其定向到 S3 存储桶或 CloudWatch 日志组。这样，操作员输入的每个按键以及返回的每个结果都会被存储，这几乎相当于对会话进行视频录制。

会话日志属于证据，因此必须具备防篡改能力。请将其存储在专用且严格限制访问的 S3 存储桶中，最好位于单独的日志记录账户中，并启用加密和限制性策略。这样可以确保管理员即使是恶意管理员，也无法删除自己的会话记录。

您可以要求对实时会话数据和存储的日志都使用 KMS 加密。强制加密意味着会话内容在静态存储和传输过程中都会受到保护，从而满足合规要求，并确保敏感命令或输出不会以明文暴露。

除了交互式会话之外，SSM 的运行命令还可以同时在多个实例上执行命令，并且同样会被完整审核。每次调用都会记录执行者、目标实例以及输出，因此即使是整个实例集群范围的管理操作，也具有与单个会话相同的责任追溯能力。

您可以将会话事件接入 EventBridge 和 SNS，以便在会话开始时收到实时警报，尤其是在敏感实例上。当有人连接到生产数据库服务器时，安全团队可以立即收到通知，在特权访问发生时进行监控，而不是事后才发现。

完整的会话审核有助于事件响应、合规和威慑。知道每项操作都会被记录，可以遏制滥用行为；发生事件时，调查人员还可以准确重现操作员执行的所有操作。这种端到端的责任追溯能力，是考试更偏向使用会话管理器而不是基于密钥的 SSH 的决定性原因。

您还可以使用限制会话只能执行特定操作的 SSM 文档，并为某些角色禁用交互式 Shell，从而进一步收紧会话权限。结合日志记录后，这意味着即使是获得授权的操作员，也只能执行获批准的活动；即使账户遭到入侵，其可执行的操作范围也会缩小，同时每项操作都会继续被记录。

会话管理器审核结合使用 CloudTrail 记录 StartSession/TerminateSession API 事件，并将会话内容记录到 S3 或 CloudWatch 日志中，还可以选择使用KMS 加密。请将日志保护在严格限制访问的独立账户中，以相同方式审核运行命令，并使用 EventBridge/SNS 针对特权访问发送实时警报。

测试会话审核。

会话管理器审核包含两层：CloudTrail 记录 StartSession/TerminateSession API 事件，而会话内容记录会将按键和输出发送到 S3 或 CloudWatch 日志，还可以选择使用KMS 加密。请将日志保护在单独且严格限制访问的账户中，同时审核运行命令，并通过 EventBridge/SNS 发送实时警报。