Connect to an instance by using Session Manager - Elastic Compute Service: Central de Documentação do Alibaba Cloud

O que é o Session Manager?

Importante

O Session Manager é gratuito. Para armazenar registros de operações do Session Manager, ative o recurso Session Operation Record Delivery. Para mais informações, consulte Deliver session records.

O Session Manager oferece os seguintes recursos:

Conexão sem senha: não é necessário insira uma senha ao conectar a uma instância.
Conexão a instâncias sem acesso à Internet: o Session Manager permite conectar a instâncias sem se conectar à Internet nem configure um servidor de salto.

Ao usar o Session Manager para conectar a uma instância, os comandos relacionados são enviados à instância ECS pelo servidor do Session Manager da Alibaba Cloud.
Suporte a múltiplos tipos de cliente:
- Alibaba Cloud Management Console: para mais informações sobre como usar o Session Manager Client no navegador para conectar a uma instância, consulte Connect in the ECS console.
- Linha de comando que exige a instalação do ali-instance-cli: para mais informações sobre como usar o Session Manager para conectar a uma instância no seu computador, consulte Connect using Session Manager CLI.

Descrição do usuário de logon

Por padrão, o Session Manager conecta a instâncias Linux como o usuário ecs-assist-user e a instâncias Windows como o usuário system.

ecs-assist-user: usuário comum no Linux. O usuário ecs-assist-user não tem permissões de nível de sistema e pode execute apenas operações autorizadas. Execute comandos sudo para conceder permissões temporárias de root ao usuário ecs-assist-user.
system: conta de sistema local no Windows com as permissões mais altas do sistema.

Limitações e pré-requisitos

A instância à qual você deseja conectar deve estar no estado Running.
Cloud Assistant Agent deve estar instalado na instância. O Session Manager é implementado com base no Cloud Assistant Agent.

O Cloud Assistant Agent é pré-instalado em instâncias ECS criadas a partir de imagens públicas da Alibaba Cloud a partir de 1º de dezembro de 2017. Em instâncias ECS criadas antes dessa data, instale o Cloud Assistant Agent manualmente. Para mais informações, consulte Install the Cloud Assistant agent .
Conectividade de rede disponível. Verifique se a instância está conectada ao servidor do Cloud Assistant, o que permite que o Cloud Assistant Agent se comunique com o servidor do Cloud Assistant via WebSocket. Para mais informações, consulte a seção Security group settings deste tópico.
É possível crie e manter até 1.000 sessões ativas por região. Cada instância ECS pode ter até 20 sessões no estado conectado. A largura de banda é limitada a 200 kbit/s por sessão.

Outros recursos e cenários

Acesso a serviços sem conexão com a Internet usando o recurso de encaminhamento de porta

Use o recurso de encaminhamento de porta do Session Manager Client para mapear uma porta de service de uma instância ECS para uma porta na sua máquina local. Em seguida, envie requisições para a porta local e acesse os serviços na instância ECS. Por exemplo, é possível acessar um service de backend web implantado em uma rede interna ou conectar a uma instância por uma rede interna via SSH. O Session Manager estabelece conexões WebSocket sobre TCP; portanto, o encaminhamento de porta suporta apenas TCP e não UDP. Para mais informações, consulte Connect using port forwarding without public IP.
Adicionar uma chave pública SSH temporária a uma instância

Ao usar SSH para conectar a uma instância, utilize o Session Manager para adicionar uma chave pública temporária com validade de 60 segundos à instância. Depois, conecte à instância usando o par de chaves que contém a chave pública temporária e uma chave privada. Para mais informações, consulte Use the Session Manager CLI to register a temporary public key for password-free logon to an instance.
Usar o recurso Session Record Delivery

Para estabelecer sessões com múltiplos usuários, use o recurso Session Record Delivery para visualize os registros de operações de um usuário específico, facilitando auditorias posteriores. Para mais informações sobre como ative o recurso Session Record Delivery, consulte Deliver session records.

Como o Session Manager funciona

Conforme mostrado na figura a seguir, ao conectar a uma instância ECS pelo Session Manager, o Session Manager Client e a instância ECS estabelecem conexões WebSocket com o servidor do Cloud Assistant. Após o estabelecimento das conexões, cada comando insira é encaminhado à instância pelo servidor do Cloud Assistant e executado pelo Cloud Assistant Agent na instância.

Módulos envolvidos na figura

Cloud Assistant client: a ferramenta cliente utilizada, como o Session Manager no console do ECS, o ali-instance-cli na máquina local ou o Cloud Assistant Agent.
Cloud Assistant server: o Session Manager é implementado com base no Cloud Assistant para gerencie permissões e o status das sessões.
Cloud Assistant Agent instalado na instância: execute os comandos insira.

Descrição da conexão

Quando o Session Manager Client estabelece uma conexão WebSocket com o Cloud Assistant server (Etapas 2 a 4), o Cloud Assistant server autentica o Session Manager Client para verificar se você tem as permissões necessárias para conectar à instância pelo Session Manager. Para mais informações sobre as permissões relevantes, consulte a seção Permission management deste tópico.
Quando o Cloud Assistant Agent no ECS estabelece uma conexão WebSocket com o Cloud Assistant server (Etapas 5 e 6), o Cloud Assistant server notifica o Cloud Assistant Agent para estabelecer uma conexão. Em seguida, o Cloud Assistant Agent estabelece ativamente uma conexão com o Cloud Assistant server.

Observe que a porta WebSocket de saída deve estar aberta para que a instância ECS acesse o Cloud Assistant server. O processo de conexão independe das regras de entrada do grupo de segurança ao qual a instância ECS pertence. Para mais informações, consulte a seção Security group settings deste tópico.

Segurança

Criptografia: o protocolo Web Socket Secure (WSS) é usado para estabelecer conexões WebSocket persistentes entre o Session Manager Client e o Cloud Assistant server, e entre o Cloud Assistant server e o Cloud Assistant Agent. Para aumentar a segurança dos dados, o protocolo WSS criptografa as conexões WebSocket persistentes usando o protocolo Secure Socket Layer (SSL).
Autenticação: ao usar o Session Manager para conectar a instâncias, não é necessário gerencie senhas das instâncias, eliminando riscos de vazamento. Em comparação com SSH e Virtual Network Computing (VNC), que utilizam autenticação por nome de usuário e senha, o Session Manager usa autenticação baseada em Resource Access Management (RAM). Para mais informações sobre as permissões relevantes, consulte a seção Permission management deste tópico.
Rede: após o estabelecimento de uma conexão WebSocket entre o Cloud Assistant Agent instalado na instância e o Cloud Assistant server, use o Session Manager — em vez de SSH ou VNC — para conectar à instância sem precisar abrir portas para tráfego de entrada. Isso aumenta a segurança da instância.

Processo de conexão

Conectar a uma instância pelo Session Manager no console do ECS (no navegador).

Faça logon no Alibaba Cloud Management Console pelo navegador e use o Session Manager para conectar à instância. Para mais informações, consulte Connect in the ECS console. A figura a seguir ilustra o processo.
Conectar a uma instância pelo Session Manager no computador local (via CLI local).

Instale o ali-instance-cli no seu computador local e use a CLI local para conectar à instância pelo Session Manager.

Para mais informações, consulte Connect using Session Manager CLI. A figura a seguir ilustra o processo.

Gerenciamento de permissões

Para usar um usuário RAM para conectar a uma instância pelo Session Manager, você deve ter as permissões necessárias. A tabela a seguir descreve as permissões exigidas.

A coluna Action corresponde à ação em uma política RAM.

Action	Descrição
`ecs:StartTerminalSession`	(Obrigatório) Conectar a uma instância ECS pelo Session Manager.
`ecs:DescribeCloudAssistantStatus`	Verifica se o Cloud Assistant Agent está instalado em uma instância ECS. O sistema verifica essa permissão antes de você conectar a uma instância no console do ECS.
`ecs:DescribeUserBusinessBehavior`	Verifica se o Session Manager está ativado. O sistema verifica essa permissão antes de você conectar a uma instância no console do ECS.
`ecs:ModifyCloudAssistantSettings`	Ativa ou desativa o Session Manager. Se o Session Manager já estiver ativado para a conta Alibaba Cloud atual, essa permissão não é necessária.

Exemplos de políticas de permissão

Exemplo 1: Usar o Session Manager no console do ECS

Para que um usuário RAM use o Session Manager para conectar a uma instância no console do ECS, conceda as seguintes permissões com base no princípio do menor privilégio:

ecs:StartTerminalSession: permissão para conectar a uma instância pelo Session Manager. Configure o parâmetro Resource para especifique as instâncias ECS às quais o usuário RAM pode se conectar pelo Session Manager.
ecs:DescribeCloudAssistantStatus: permissão para verificar se o Cloud Assistant Agent precisa ser instalado em uma instância ECS. O sistema verifica essa permissão antes de você conectar a uma instância no console do ECS.
ecs:DescribeUserBusinessBehavior: permissão para verificar se o Session Manager está ativado. O sistema verifica essa permissão antes de você conectar a uma instância no console do ECS.
(Opcional) ecs:ModifyCloudAssistantSettings: permissão para ativar ou desativar o Session Manager. Se o Session Manager já estiver ativado para a conta Alibaba Cloud atual, essa permissão não é necessária.

Exemplo de política personalizada:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:DescribeUserBusinessBehavior",
        "ecs:DescribeCloudAssistantStatus",
        "ecs:ModifyCloudAssistantSettings"
      ],
      "Resource": "*"
    }
  ]
}

Para mais informações sobre como conceder permissões a um usuário RAM, consulte Manage RAM user permissions.

Exemplo 2: Conectar a uma instância usando o ali-instance-cli

Ao usar o ali-instance-cli, especifique o par de AccessKey e o token do Security Token Service (STS) do usuário RAM. Ao conectar a uma instância pelo Session Manager, o sistema verifica se o usuário RAM que possui as credenciais também tem a permissão ecs:StartTerminalSession.

Ao configure uma política personalizada, configure o parâmetro Resource para especifique as instâncias ECS às quais o usuário RAM pode se conectar pelo Session Manager. Exemplo de política:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    }
  ]
}

Para mais informações sobre os parâmetros CredentialsURI e STS Token, consulte Create an AccessKey pair e STS overview.

Para mais informações sobre como conceder permissões a um usuário RAM, consulte Manage RAM user permissions.

Exemplo 3: Crie uma política RAM para conceder a usuários específicos as permissões de uso do Session Manager

Conceda aos usuários RAM testUser1 e testUser2 as permissões para usar o Session Manager.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:StartTerminalSession"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/*"
      ],
      "Condition": {
        "StringEquals": {
          "ecs:SessionStartAs": [
            "testUser1",
            "testUser2"
          ]
        }
      }
    }
      ],
  "Version": "1"
}

Revogue as permissões de uso do Session Manager dos usuários RAM testUser1 e testUser2.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:StartTerminalSession"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/*"
      ],
      "Condition": {
        "StringNotEqualsIgnoreCase": {
          "ecs:SessionStartAs": [
            "testUser1",
            "testUser2"
          ]
        }
      }
    }
      ],
  "Version": "1"
}

Para mais informações sobre como conceder permissões a um usuário RAM, consulte Manage RAM user permissions.

Configurações do grupo de segurança

Ao usar o Session Manager para conectar a uma instância ECS, certifique-se de que o Cloud Assistant Agent em execução na instância esteja conectado ao servidor do Cloud Assistant adicionando as seguintes regras ao grupo de segurança de saída:

Diferentemente de métodos como SSH e Remote Desktop Protocol (RDP), o Cloud Assistant Agent estabelece ativamente uma conexão WebSocket com o servidor do Session Manager. Basta abrir a porta de saída WebSocket do servidor do Cloud Assistant em uma regra de segurança. Para mais informações sobre como o Session Manager funciona, consulte a seção How Session Manager works deste tópico.

Importante

Se você usar grupos de segurança básicos, incluindo o grupo de segurança padrão, todo o tráfego de saída é permitido. Nenhuma configuração adicional é necessária.
Se você usar um grupo de segurança avançado, todo o tráfego de saída é negado por padrão. Configure as regras relevantes conforme descrito na tabela a seguir. Para mais informações sobre grupos de segurança, consulte Basic and advanced security groups.

Para mais informações sobre como adicionar regras a um grupo de segurança, consulte Add a security group rule.

Action	Prioridade	Tipo de protocolo	Intervalo de portas	Objeto de autorização	Descrição
Allow	1	Custom TCP	443	`100.100.0.0/16`	Esta porta é usada para acessar o servidor do Cloud Assistant.
Allow	1	Custom TCP	443	`100.0.0.0/8`	Esta porta é usada para acessar o servidor onde o pacote de instalação do Cloud Assistant Agent está armazenado, quando você deseja instale ou atualize o Cloud Assistant Agent.
Allow	1	Custom UDP	53	`0.0.0.0/0`	Esta porta é usada para resolução de nomes de domínio.

Para conectar a uma instância usando somente o Session Manager, exclua as regras de entrada que permitem a porta SSH (padrão 22) e a porta RDP (padrão 3389) do grupo de segurança, aumentando assim a segurança da instância ECS.

Integrar o recurso Session Manager em suas aplicações para logon em instâncias

Para o código completo usado para conectar a uma instância ECS ou a uma instância gerenciada pelo Session Manager, consulte cloud-assistant-starter. O arquivo AxtSession.tsx neste projeto contém o código de exemplo para chamar a operação StartTerminalSession, obter o WebSocketURL e estabelecer uma conexão. Após portar o código para sua aplicação empresarial, use o Session Manager para conectar a instâncias.