Elastic Compute Service:セッションマネージャーを使用したインスタンスへの接続

RAM ユーザーがセッションマネージャーを使用して ECS コンソールでインスタンスに接続するには、最小権限の原則に基づいて、RAM ユーザーに次の権限を付与する必要があります。

• ecs:StartTerminalSession：セッションマネージャーを使用してインスタンスに接続する権限です。Resource パラメーターを設定して、RAM ユーザーがセッションマネージャーを使用して接続できる ECS インスタンスを指定できます。

• ecs:DescribeCloudAssistantStatus: ECS インスタンスに Cloud Assistant Agent をインストールする必要があるかどうかを照会するための権限です。システムは、ECS コンソールでインスタンスに接続する前にこの権限を確認します。

• ecs:DescribeUserBusinessBehavior：セッションマネージャーが有効になっているかどうかを照会する権限です。この権限は、ECS コンソールでインスタンスに接続する前にシステムがチェックします。

• (オプション) ecs:ModifyCloudAssistantSettings：セッションマネージャーを有効または無効にする権限です。現在の Alibaba Cloud アカウントでセッションマネージャーが有効になっている場合、この権限を付与する必要はありません。

カスタムポリシーのサンプル：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:DescribeUserBusinessBehavior",
        "ecs:DescribeCloudAssistantStatus",
        "ecs:ModifyCloudAssistantSettings"
      ],
      "Resource": "*"
    }
  ]
}

RAM ユーザーに権限を付与する方法は、「RAM ユーザーの権限管理」をご参照ください。

ali-instance-cli を使用する場合、RAM ユーザーの AccessKey ペアと Security Token Service (STS) トークンを指定する必要があります。セッションマネージャーを使用してインスタンスに接続すると、システムは、認証情報を持つ RAM ユーザーが ecs:StartTerminalSession 権限も持っているかどうかを検証します。

カスタムポリシーを設定する際、Resource パラメーターを設定して、RAM ユーザーがセッションマネージャーを使用して接続できる ECS インスタンスを指定できます。ポリシーのサンプル：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    }
  ]
}

CredentialsURI および STS Token パラメーターの詳細については、「アクセスキーペアを作成する」および「セキュリティトークンサービス (STS) とは」をご参照ください。

RAM ユーザーに権限を付与する方法は、「RAM ユーザーの権限管理」をご参照ください。

• testUser1 および testUser2 という名前の RAM ユーザーにセッションマネージャーを使用する権限を付与します。

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ecs:StartTerminalSession"
        ],
        "Resource": [
          "acs:ecs:*:*:instance/*"
        ],
        "Condition": {
          "StringEquals": {
            "ecs:SessionStartAs": [
              "testUser1",
              "testUser2"
            ]
          }
        }
      }
        ],
    "Version": "1"
  }

• testUser1 および testUser2 という名前の RAM ユーザー以外のすべてのユーザーがセッションマネージャーを使用することを許可します。

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ecs:StartTerminalSession"
        ],
        "Resource": [
          "acs:ecs:*:*:instance/*"
        ],
        "Condition": {
          "StringNotEqualsIgnoreCase": {
            "ecs:SessionStartAs": [
              "testUser1",
              "testUser2"
            ]
          }
        }
      }
        ],
    "Version": "1"
  }

  RAM ユーザーに権限を付与する方法は、「RAM ユーザーの権限管理」をご参照ください。