Elastic Compute Service:Workbench を使用してインスタンスに接続する

Workbench とは

Workbench を使用してインスタンスに接続するためのワークフロー

次の図は、Workbench を使用してインスタンスに接続する方法を示しています。

1. 接続するインスタンスを探します。

2. Workbench と ECS インスタンス間のネットワーク接続を有効にします。

   この手順では、ECS コンソールでインスタンスが属するセキュリティグループのルールを構成し、インスタンスのファイアウォールルールを構成して、Workbench からのインバウンドトラフィックを許可します。

3. Workbench を使用してインスタンスに接続します。

   ECS コンソールで、Workbench を使用してインスタンスに接続します。 Workbench の [インスタンスログイン] ダイアログボックスに、ユーザー名、パスワード、およびキーペアを入力します。

4. Workbench サービスロールを作成します。

   Workbench を使用してインスタンスに接続するときに、Workbench に関連する Resource Access Management (RAM) サービスロールが作成されていない場合、インスタンスにアクセスするための権限を Workbench に付与するように求められます。画面の指示に従って、Workbench サービスロールを作成します。

5. インスタンスに接続して O&M 操作を実行します。

Workbench サービスロール

Workbench を使用してインスタンスに初めて接続するときに、AliyunServiceRoleForECSWorkbench サービスロールを作成するように求められます。 Workbench は、インスタンスにアクセスするためにロールを引き受けます。詳細については、「サービスロール」をご参照ください。

インスタンスに初めて接続すると、次の図に示すように、ダイアログボックスが表示されます。 [OK] をクリックすると、サービスロールが自動的に作成されます。

RAM ユーザーを使用している場合は、Alibaba Cloud アカウントの所有者または管理者に連絡して、AliyunECSWorkbenchFullAccess ポリシーを RAM ユーザーにアタッチする必要があります。 AliyunECSWorkbenchFullAccess ポリシーがアタッチされている RAM ユーザーのみが、Workbench サービスロールを作成する権限を持っています。

RAM ユーザーに Workbench を使用する権限を付与するポリシー

Workbench サービスロールを作成した後、次のポリシーを RAM ユーザーにアタッチする必要があります。このポリシーは、RAM ユーザーに Workbench を使用してすべての ECS インスタンスに接続する権限を付与します。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Workbench を使用して接続できるインスタンスを制限するには、Resource 要素を次の形式で指定します。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": [
        "acs:ecs-workbench:{#regionId}:{#accountId}:workbench/{#instanceId}",
        "acs:ecs-workbench:{#regionId}:{#accountId}:workbench/{#instanceId}"
      ],
      "Effect": "Allow"
    }
  ]
}

次のパラメータに注意してください。

• {#regionId}: 接続するインスタンスのリージョン ID。このパラメータはアスタリスク (*) に設定できます。

• {#accountId}: Alibaba Cloud アカウントの ID。このパラメータはアスタリスク (*) に設定できます。

• {#instanceId}: 接続するインスタンスの ID。このパラメータはアスタリスク (*) に設定できます。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": [
        "acs:ecs-workbench:*:*:workbench/i-001",
        "acs:ecs-workbench:*:*:workbench/i-002"
      ],
      "Effect": "Allow"
    }
  ]
}

Workbench に関連するセキュリティグループ設定

Workbench を使用して SSH または RDP 経由でインスタンスに接続する場合は、インスタンスが属するセキュリティグループで Workbench サーバーからのインバウンドトラフィックを許可する必要があります。ネットワークタイプに基づいてセキュリティグループルールを追加できます。次の表に、セキュリティグループルールを示します。セキュリティグループルールの追加方法については、「セキュリティグループルールを追加する」をご参照ください。