Elastic Compute Service:ワークベンチを使用したインスタンスへの接続

ワークベンチとは

ワークベンチのワークフロー

ワークベンチを使用してインスタンスに接続するためのワークフローを次の図に示します。

1. 接続するインスタンスを特定します。

2. ワークベンチと ECS インスタンス間のネットワーク接続を確立します。

   このステップでは、インスタンスのセキュリティグループとインスタンス上のファイアウォールを構成して、ワークベンチからのインバウンドトラフィックを許可する必要があります。

3. ワークベンチを使用してインスタンスに接続します。

   コンソールで、ワークベンチを使用してインスタンスに接続することを選択し、ユーザー名とパスワード、またはキーペアなどの認証情報を入力します。

4. サービスリンクロールを作成します。

   サービスリンクロールを作成していない場合、ワークベンチは作成を促すプロンプトを表示します。このロールは、ワークベンチに ECS インスタンスへのアクセス権限を付与します。

5. インスタンスに接続し、O&M 操作を実行します。

ワークベンチのサービスリンクロール

ワークベンチを使用してインスタンスに初めて接続すると、AliyunServiceRoleForECSWorkbench サービスリンクロールの作成を促すプロンプトが表示されます。ワークベンチがご利用の ECS インスタンスにアクセスするには、このロールが必要です。サービスリンクロールの詳細については、「サービスリンクロール」をご参照ください。

インスタンスに初めて接続すると、ダイアログボックスが表示されます。[OK] をクリックすると、サービスリンクロールが自動的に作成されます。

RAM ユーザーの場合は、Alibaba Cloud アカウントの管理者に、AliyunECSWorkbenchFullAccess システムアクセスポリシーを RAM ユーザーにアタッチするよう依頼してください。これにより、ワークベンチのサービスリンクロールを作成するために必要な権限が付与されます。

RAM ユーザーの権限

サービスリンクロールが作成された後、RAM ユーザーが ワークベンチ を使用してすべての ECS インスタンスに接続するには、次のアクセスポリシーが必要です。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

ユーザーがワークベンチを使用して接続できるインスタンスを制限するには、次のように Resource フィールドを変更します。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": [
        "acs:ecs-workbench:{#regionId}:{#accountId}:workbench/{#instanceId}",
        "acs:ecs-workbench:{#regionId}:{#accountId}:workbench/{#instanceId}"
      ],
      "Effect": "Allow"
    }
  ]
}

次の表にパラメーターを示します。

• {#regionId}：インスタンスが存在するリージョンの ID。ワイルドカード (*) を使用できます。

• {#accountId}：Alibaba Cloud アカウントの ID。ワイルドカード (*) を使用できます。

• {#instanceId}：ターゲットインスタンスの ID。ワイルドカード (*) を使用できます。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": [
        "acs:ecs-workbench:*:*:workbench/i-001",
        "acs:ecs-workbench:*:*:workbench/i-002"
      ],
      "Effect": "Allow"
    }
  ]
}

セキュリティグループの設定

SSH または RDP を介してワークベンチを使用してインスタンスに接続する場合、インスタンスのセキュリティグループでワークベンチサーバーからのインバウンドトラフィックを許可する必要があります。次の表を参照して、ネットワークタイプに基づいてセキュリティグループルールを追加できます。詳細については、「セキュリティグループルールの追加」をご参照ください。