Connect to an instance by using Session Manager - Elastic Compute Service

Session Manager nedir?

Önemli

Session Manager ücretsizdir. Session Manager işlem kayıtlarını depolamak istiyorsanız Session Operation Record Delivery özelliğini etkinleştirmeniz gerekir. Daha fazla bilgi için bkz. Oturum kayıtlarını iletme.

Session Manager aşağıdaki özellikleri sunar:

Parolasız bağlantı: Bir örneğe bağlanırken parola girmeniz gerekmez.
İnternet erişimi olmayan örneklere bağlantı: Session Manager, İnternet'e bağlanmaya veya atlama sunucusu yapılandırmaya gerek kalmadan örneklere bağlanmanıza olanak tanır.

Session Manager kullanarak bir örneğe bağlandığınızda ilgili komutlar Alibaba Cloud'un Session Manager sunucusu tarafından ECS örneğine gönderilir.
Çoklu istemci türü desteği:
- Alibaba Cloud Management Console: Tarayıcıda Session Manager Client kullanarak bir örneğe nasıl bağlanılacağı hakkında bilgi için bkz. ECS konsolunda bağlanma.
- ali-instance-cli kurulumu gerektiren komut satırları: Bilgisayarınızda Session Manager kullanarak bir örneğe nasıl bağlanılacağı hakkında bilgi için bkz. Session Manager CLI kullanarak bağlanma.

Oturum açma kullanıcısı açıklaması

Varsayılan olarak Session Manager kullanarak Linux örneğine ecs-assist-user kullanıcısı olarak, Windows örneğine ise system kullanıcısı olarak bağlanırsınız.

ecs-assist-user: Linux'ta standart bir kullanıcıdır. ecs-assist-user kullanıcısı sistem düzeyinde izinlere sahip değildir ve yalnızca yetkilendirilmiş işlemleri yapabilir. ecs-assist-user kullanıcısına geçici root izinleri vermek için sudo komutlarını çalıştırabilirsiniz.
system: En yüksek sistem izinlerine sahip olan Windows yerel sistem hesabıdır.

Sınırlamalar ve Ön Koşullar

Bağlanmak istediğiniz örnek Running durumundadır.
Cloud Assistant Agent örnekte yüklüdür. Session Manager, Cloud Assistant Agent temel alınarak uygulanır.

Cloud Assistant Agent 1 Aralık 2017 tarihinde veya sonrasında Alibaba Cloud genel görüntülerinden oluşturulan ECS örneklerinde önceden yüklenmiştir. 1 Aralık 2017 tarihinden önce oluşturulan ECS örnekleri için Cloud Assistant Agent'ı manuel olarak yüklemeniz gerekir. Daha fazla bilgi için bkz. Cloud Assistant aracısını yükleme .
Ağ bağlantısı kullanılabilir. Örneğin Cloud Assistant sunucusuna bağlı olduğundan emin olun. Bu sayede Cloud Assistant Agent, Cloud Assistant sunucusuyla WebSocket üzerinden iletişim kurabilir. Daha fazla bilgi için bu konunun Güvenlik grubu ayarları bölümüne bakın.
Bölge başına en fazla 1.000 oturum oluşturulabilir ve aktif kalabilir. Her ECS örneği, bağlı durumda en fazla 20 oturuma sahip olabilir. Bant genişliği oturum başına 200 kbit/s ile sınırlıdır.

Diğer özellikler ve senaryolar

Port yönlendirme özelliğini kullanarak İnternet bağlantısı olmadan hizmetlere erişim

Session Manager Client'ın port yönlendirme özelliğini kullanarak bir ECS örneğindeki hizmet portunu yerel makinenizdeki bir porta eşleyebilirsiniz. Ardından, ECS örneğindeki hizmetlere erişmek için yerel porta istek gönderebilirsiniz. Örneğin, dahili ağ üzerinde dağıtılan bir web arka uç hizmetine erişebilir veya SSH kullanarak dahili ağ üzerinden bir örneğe bağlanabilirsiniz. Session Manager, TCP üzerinden WebSocket bağlantıları kurar. Bu nedenle port yönlendirme özelliği yalnızca TCP port yönlendirmeyi destekler, UDP port yönlendirmeyi desteklemez. Daha fazla bilgi için bkz. Genel IP olmadan port yönlendirme kullanarak bağlanma.
Örneğe geçici bir SSH genel anahtarı ekleme

Bir örneğe SSH kullanarak bağlanırken Session Manager aracılığıyla örneğe 60 saniye boyunca geçerli olan geçici bir genel anahtar ekleyebilirsiniz. Ardından geçici genel anahtarı ve özel anahtarı içeren anahtar çiftini kullanarak örneğe bağlanabilirsiniz. Daha fazla bilgi için bkz. Parolasız oturum açmak için bir örneğe geçici genel anahtar kaydetmek üzere Session Manager CLI'yı kullanma.
Oturum Kaydı İletme özelliğini kullanma

Birden çok kullanıcıyla oturumlar oluşturmak istiyorsanız sonraki işlem denetimi amacıyla belirli bir kullanıcının işlem kayıtlarını görüntülemek için Oturum Kaydı İletme özelliğini kullanabilirsiniz. Oturum Kaydı İletme özelliğinin nasıl etkinleştirileceği hakkında bilgi için bkz. Oturum kayıtlarını iletme.

Session Manager'ın çalışma şekli

Aşağıdaki şekilde gösterildiği gibi Session Manager kullanarak bir ECS örneğine bağlandığınızda Session Manager Client ve ECS örneği Cloud Assistant sunucusuna WebSocket bağlantıları kurar. Bağlantılar kurulduktan sonra girdiğiniz her komut Cloud Assistant sunucusu tarafından örneğe iletilir ve örnekteki Cloud Assistant Agent tarafından çalıştırılır.

Şekilde yer alan modüller

Cloud Assistant client: ECS konsolundaki Session Manager, yerel makinenizdeki ali-instance-cli veya Cloud Assistant Agent gibi kullandığınız istemci aracı.
Cloud Assistant server: Session Manager, izinleri ve oturum durumunu yönetmek amacıyla Cloud Assistant temel alınarak uygulanır.
Örnekte yüklü Cloud Assistant Agent: Girdiğiniz komutları çalıştırır.

Bağlantı açıklaması

Session Manager Client, Cloud Assistant server öğesine bir WebSocket bağlantısı kurduğunda (Adım 2 ile 4) Cloud Assistant sunucusu Session Manager Client'ı kimlik doğrular ve Session Manager kullanarak örneğe bağlanma izninizin olup olmadığını belirler. İlgili izinler hakkında bilgi için bu konunun İzin yönetimi bölümüne bakın.
ECS'deki Cloud Assistant Agent Cloud Assistant server öğesine bir WebSocket bağlantısı kurduğunda (Adım 5 ve 6) Cloud Assistant sunucusu Cloud Assistant Agent bildiriminde bulunarak bir bağlantı kurmasını sağlar. Ardından Cloud Assistant Agent Cloud Assistant sunucusuna aktif olarak bir bağlantı kurar.

ECS örneğinin Cloud Assistant sunucusuna erişebilmesi için giden WebSocket bağlantı noktasının açık olması gerektiğini unutmayın. Bağlantı süreci, ECS örneğinin ait olduğu güvenlik grubunun gelen kurallarıyla ilişkili değildir. Daha fazla bilgi için bu konunun Güvenlik grubu ayarları bölümüne bakın.

Güvenlik

Şifreleme: Session Manager Client ile Cloud Assistant sunucusu arasında ve Cloud Assistant sunucusu ile Cloud Assistant Agent arasında kalıcı WebSocket bağlantıları kurmak için Web Socket Secure (WSS) protokolü kullanılır. Veri güvenliğini artırmak amacıyla WSS protokolü kalıcı WebSocket bağlantılarını Secure Socket Layer (SSL) protokolü kullanarak şifreler.
Kimlik doğrulama: Session Manager kullanarak örneklere bağlanırken örnek parolalarını yönetmeniz gerekmez ve örneklerde parola sızıntısı riski bulunmaz. Kullanıcı adı/parola tabanlı kimlik doğrulama kullanan SSH ve Virtual Network Computing (VNC) ile karşılaştırıldığında Session Manager Resource Access Management (RAM) tabanlı kimlik doğrulama kullanır. İlgili izinler hakkında bilgi için bu konunun İzin yönetimi bölümüne bakın.
Ağ: Örnekte yüklü Cloud Assistant Agent ile Cloud Assistant sunucusu arasında bir WebSocket bağlantısı kurulduktan sonra örnekte gelen trafik için bağlantı noktalarını açmaya gerek kalmadan SSH veya VNC yerine Session Manager kullanarak örneğe bağlanabilirsiniz. Bu örneğin güvenliğini artırır.

Bağlantı süreci

ECS konsolunda (tarayıcıda) Session Manager kullanarak bir örneğe bağlanma.

Tarayıcıda Alibaba Cloud Management Console'a oturum açın ve Session Manager kullanarak örneğe bağlanın. Daha fazla bilgi için bkz. ECS konsolunda bağlanma. Aşağıdaki şekilde süreç gösterilmektedir.
Yerel bilgisayarınızda (yerel komut satırında) Session Manager kullanarak bir örneğe bağlanma.

Yerel bilgisayarınıza ali-instance-cli yükleyebilir ve yerel komut satırını kullanarak Session Manager aracılığıyla örneğe bağlanabilirsiniz.

Daha fazla bilgi için bkz. Session Manager CLI kullanarak bağlanma. Aşağıdaki şekilde süreç gösterilmektedir.

İzin yönetimi

Session Manager kullanarak bir örneğe RAM kullanıcısı ile bağlanmak istiyorsanız gerekli izinlere sahip olmanız gerekir. Aşağıdaki tabloda gerekli izinler açıklanmaktadır.

Action sütunu, bir RAM ilkesindeki eyleme karşılık gelir.

Action	Description
`ecs:StartTerminalSession`	(Zorunlu) Session Manager kullanarak bir ECS örneğine bağlanın.
`ecs:DescribeCloudAssistantStatus`	Bir ECS örneğinde Cloud Assistant Agent yüklü olup olmadığını sorgulayın. Sistem, ECS konsolunda bir örneğe bağlanmadan önce bu izni kontrol eder.
`ecs:DescribeUserBusinessBehavior`	Session Manager'ın etkin olup olmadığını sorgulayın. Sistem, ECS konsolunda bir örneğe bağlanmadan önce bu izni kontrol eder.
`ecs:ModifyCloudAssistantSettings`	Session Manager'ı etkinleştirin veya devre dışı bırakın. Geçerli Alibaba Cloud hesabı için Session Manager zaten etkinse bu izni vermenize gerek yoktur.

İzin ilkeleri örnekleri

Örnek 1: ECS konsolunda Session Manager kullanma

Bir RAM kullanıcısı ECS konsolunda Session Manager kullanarak bir örneğe bağlanmak istiyorsa en az ayrıcalık ilkesine göre RAM kullanıcısına aşağıdaki izinlerin verilmesi gerekir:

ecs:StartTerminalSession: Session Manager kullanarak bir örneğe bağlanma izni. Bir RAM kullanıcısının Session Manager kullanarak bağlanabileceği ECS örneklerini belirtmek için Resource parametresini yapılandırabilirsiniz.
ecs:DescribeCloudAssistantStatus: Bir ECS örneğinde Cloud Assistant Agent yüklenip yüklenmeyeceğini sorgulama izni. Sistem, ECS konsolunda bir örneğe bağlanmadan önce bu izni kontrol eder.
ecs:DescribeUserBusinessBehavior: Session Manager'ın etkin olup olmadığını sorgulama izni. Sistem, ECS konsolunda bir örneğe bağlanmadan önce bu izni kontrol eder.
(İsteğe bağlı) ecs:ModifyCloudAssistantSettings: Session Manager'ı etkinleştirme veya devre dışı bırakma izni. Geçerli Alibaba Cloud hesabı için Session Manager zaten etkinse bu izni vermenize gerek yoktur.

Özel ilke örneği:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:DescribeUserBusinessBehavior",
        "ecs:DescribeCloudAssistantStatus",
        "ecs:ModifyCloudAssistantSettings"
      ],
      "Resource": "*"
    }
  ]
}

Bir RAM kullanıcısına izin verme hakkında bilgi için bkz. RAM kullanıcı izinlerini yönetme.

Örnek 2: ali-instance-cli kullanarak bir örneğe bağlanma

ali-instance-cli kullanırken RAM kullanıcısının AccessKey pair ve Security Token Service (STS) token değerlerini belirtmeniz gerekir. Session Manager kullanarak bir örneğe bağlandığınızda sistem kimlik bilgilerine sahip olan RAM kullanıcısının ecs:StartTerminalSession iznine de sahip olup olmadığını doğrular.

Özel bir ilke yapılandırırken RAM kullanıcısının Session Manager kullanarak bağlanabileceği ECS örneklerini belirtmek için Resource parametresini yapılandırabilirsiniz. İlke örneği:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    }
  ]
}

CredentialsURI ve STS Token parametreleri hakkında bilgi için bkz. AccessKey çifti oluşturma ve STS'ye genel bakış

Bir RAM kullanıcısına izin verme hakkında bilgi için bkz. RAM kullanıcı izinlerini yönetme.

Örnek 3: Belirli kullanıcılara Session Manager kullanma izinleri vermek için RAM ilkesi oluşturma

testUser1 ve testUser2 adlı RAM kullanıcılarına Session Manager kullanma izinleri verin.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:StartTerminalSession"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/*"
      ],
      "Condition": {
        "StringEquals": {
          "ecs:SessionStartAs": [
            "testUser1",
            "testUser2"
          ]
        }
      }
    }
      ],
  "Version": "1"
}

testUser1 ve testUser2 adlı RAM kullanıcılarından Session Manager kullanma izinlerini geri alın.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:StartTerminalSession"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/*"
      ],
      "Condition": {
        "StringNotEqualsIgnoreCase": {
          "ecs:SessionStartAs": [
            "testUser1",
            "testUser2"
          ]
        }
      }
    }
      ],
  "Version": "1"
}

Bir RAM kullanıcısına izin verme hakkında bilgi için bkz. RAM kullanıcı izinlerini yönetme.

Güvenlik grubu ayarları

Session Manager kullanarak bir ECS örneğine bağlanırken ECS örneğinde çalışan Cloud Assistant Agent uygulamasının Cloud Assistant sunucusuna bağlı olduğundan emin olmak için aşağıdaki kuralları bir giden güvenlik grubuna ekleyin:

SSH ve Remote Desktop Protocol (RDP) gibi bağlantı yöntemleriyle karşılaştırıldığında Cloud Assistant Agent Session Manager sunucusuna WebSocket bağlantısını aktif olarak kurar. Bir güvenlik kuralında Cloud Assistant sunucusunun giden WebSocket bağlantı noktasını açmanız yeterlidir. Session Manager'ın çalışma şekli hakkında bilgi için bu konunun Session Manager'ın çalışma şekli bölümüne bakın.

Önemli

Varsayılan güvenlik grubu dahil olmak üzere temel güvenlik grupları kullanıyorsanız tüm giden trafiğe izin verilir. Ek yapılandırma gerekmez.
Gelişmiş güvenlik grubu kullanıyorsanız tüm giden trafik engellenir. İlgili kuralları yapılandırmanız gerekir. Aşağıdaki tabloda kurallar açıklanmaktadır. Güvenlik grupları hakkında bilgi için bkz. Temel ve gelişmiş güvenlik grupları.

Bir güvenlik grubuna kural ekleme hakkında bilgi için bkz. Güvenlik grubu kuralı ekleme.

Action	Priority	Protocol type	Port range	Authorization object	Description
Allow	1	Custom TCP	443	`100.100.0.0/16`	Bu bağlantı noktası Cloud Assistant sunucusuna erişmek için kullanılır.
Allow	1	Custom TCP	443	`100.0.0.0/8`	Bu bağlantı noktası, Cloud Assistant Agent yüklemek veya güncellemek istediğinizde Cloud Assistant Agent kurulum paketinin depolandığı sunucuya erişmek için kullanılır.
Allow	1	Custom UDP	53	`0.0.0.0/0`	Bu bağlantı noktası etki alanı adlarını çözümlemek için kullanılır.

Bir örneğe yalnızca Session Manager kullanarak bağlanmak istiyorsanız ECS örneğinin güvenliğini artırmak amacıyla SSH bağlantı noktasına (varsayılan 22) ve RDP bağlantı noktasına (varsayılan 3389) izin veren gelen kurallarını bir güvenlik grubundan silin.

Örneklere oturum açmak için uygulamalarınızda Session Manager özelliğini entegre etme

Session Manager kullanarak bir ECS örneğine veya yönetilen örneğe bağlanmak için kullanılan tam kod için bkz. cloud-assistant-starter. Bu projedeki AxtSession.tsx dosyası WebSocketURL elde etmek ve bir bağlantı kurmak amacıyla StartTerminalSession işlemi çağırma örnek kodunu içerir. Kodu kurumsal uygulamanıza taşıdıktan sonra Session Manager kullanarak örneklere bağlanabilirsiniz.