Elastic Compute Service:Session Manager を使用してインスタンスに接続する

RAM ユーザーが ECS コンソールで Session Manager を使用してインスタンスに接続する場合、最小権限の原則に基づいて、RAM ユーザーに次の権限が付与されている必要があります。

• ecs:StartTerminalSession: Session Manager を使用してインスタンスに接続するための権限。リソース パラメーターを構成して、RAM ユーザーが Session Manager を使用して接続できる ECS インスタンスを指定できます。

• ecs:DescribeCloudAssistantStatus: Cloud Assistant エージェント を ECS インスタンスにインストールする必要があるかどうかをクエリするための権限。ECS コンソールでインスタンスに接続する前に、システムはこの権限を確認します。

• ecs:DescribeUserBusinessBehavior: Session Manager が有効になっているかどうかをクエリするための権限。ECS コンソールでインスタンスに接続する前に、システムはこの権限を確認します。

• （オプション） ecs:ModifyCloudAssistantSettings: Session Manager を有効または無効にするための権限。現在の Alibaba Cloud アカウントで Session Manager が有効になっている場合は、この権限を付与する必要はありません。

カスタムポリシーの例:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:DescribeUserBusinessBehavior",
        "ecs:DescribeCloudAssistantStatus",
        "ecs:ModifyCloudAssistantSettings"
      ],
      "Resource": "*"
    }
  ]
}

RAM ユーザーに権限を付与する方法については、「RAM ユーザーに権限を付与する」をご参照ください。

ali-instance-cli を使用する場合、RAM ユーザーの AccessKey ペア と Security Token Service (STS) トークン を指定する必要があります。Session Manager を使用してインスタンスに接続する場合、システムは資格情報を持つ RAM ユーザーに ecs:StartTerminalSession 権限もあるかどうかを確認します。

カスタムポリシーを構成する場合、リソース パラメーターを構成して、RAM ユーザーが Session Manager を使用して接続できる ECS インスタンスを指定できます。ポリシーの例:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    }
  ]
}

CredentialsURI パラメーターと STS トークン パラメーターについては、「AccessKey ペアを作成する」および「STS とは」をご参照ください。

RAM ユーザーに権限を付与する方法については、「RAM ユーザーに権限を付与する」をご参照ください。

• testUser1 と testUser2 という名前の RAM ユーザーに、Session Manager を使用する権限を付与します。

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ecs:StartTerminalSession"
        ],
        "Resource": [
          "acs:ecs:*:*:instance/*"
        ],
        "Condition": {
          "StringEquals": {
            "ecs:SessionStartAs": [
              "testUser1",
              "testUser2"
            ]
          }
        }
      }
        ],
    "Version": "1"
  }

• testUser1 と testUser2 という名前の RAM ユーザーの Session Manager を使用する権限を取得します。

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ecs:StartTerminalSession"
        ],
        "Resource": [
          "acs:ecs:*:*:instance/*"
        ],
        "Condition": {
          "StringNotEqualsIgnoreCase": {
            "ecs:SessionStartAs": [
              "testUser1",
              "testUser2"
            ]
          }
        }
      }
        ],
    "Version": "1"
  }

  RAM ユーザーに権限を付与する方法については、「RAM ユーザーに権限を付与する」をご参照ください。