AWS Session Manager 管理 EC2 实例

aws ec2提供了4中方式，连接到实例。
* ec2 instance Connet
* 会话管理器
* ssh客户端
* 串行

![](/media/202312/2023-12-09_173922_4069090.7914212665302031.png)

密钥丢失的情况下，如何登录到ec2。
Session Manager: 这就是我们本文要讲述的，sshd 不用启动，Security Group 只要求能往连接外部的 443 端口，SSH Key 不需要

**这里列出 EC2 实例能被 Session Manager 连接管理的基本条件：**

1. EC2 IAM role 要求附着了 AmazonSSMManagedInstanceCore 这个策略，或手工添加了相应的权限，这个角度会用来创建具有根用户权限的 ssm-user, Session Manager 将采用这个用户登陆。
2. Security Group 要求 EC2 能连接外部的 443 端口，比如 0.0.0.0:443，Session Manager 的通信方式是 EC2 用某个 IP 的 443 端口作为代理，所以不需要 SSH 服务
3. EC2 上必须启动 ssmagent, 列进程时会看到 /usr/bin/amazon-ssm-agent 和 /usr/bin/ssm-agent-worker 两个驻留进程。每登入进来一个用户创建一个 ssm-session-worker 进程

假如选择的 AMI 没有内置启动 ssmagent，以 Amazon Linux 2 为例，就需要把在 EC2 的 userdata 中加上下面的行
```
 sudo yum install -y https://s3.us-east-1.amazonaws.com/amazon-ssm-us-east-1/latest/linux_amd64/amazon-ssm-agent.rpm
 ```

自己随便选择一个区域的 s3 链接就行，并不要求 us-east-1 的 EC2 只能下载 us-east-1 的 rpm 包。不同的 Linux 发行版本安装方式略有不同

装完后 ssm-agent 应该是自动启动的

![](/media/202312/2023-12-10_143629_9078020.8087243128393764.png)

# 会话管理器 方式 1
`无需 ssh密钥`
![](/media/202312/2023-12-09_174304_3686430.3023804935565597.png)

1. 第一步需要 新建一个 IAM 角色

![](/media/202312/2023-12-09_174610_7392990.6714906892868566.png)

![](/media/202312/2023-12-09_174709_0398510.8617099715641303.png)

![](/media/202312/2023-12-09_174810_0744020.6051203662331338.png)

![](/media/202312/2023-12-09_174848_4438410.5595846716633968.png)

![](/media/202312/2023-12-09_175017_3397840.6470293408703226.png)

2. 回到ec2 界面

![](/media/202312/2023-12-09_175219_7951730.23658233245856508.png)

![](/media/202312/2023-12-09_175316_0316540.2676057004820024.png)

3. 来到 AWS Systems Manager

![](/media/202312/2023-12-09_175554_7965350.7651567465856437.png)

![](/media/202312/2023-12-09_175646_7757200.46559750608301276.png)
# 会话管理器 方式 2 (推荐)

![](/media/202312/2023-12-10_143140_5718190.24488281184129612.png)
`在创建ec2的时候，设定 IAM 角色`

# 本地启动 AWS CLI  session (推荐)

本地除安装了 AWS CLI 外，需安装 Session Manager Plugin((Optional) Install the Session Manager plugin for the AWS CLI, 找好自己的平台来安装)。完后只要指定 EC2 实例的 ID 就能连接，而无需 IP 地址。
```
$ aws ssm start-session --target i-0c0072d1212832d20
Starting session with SessionId: yanbin@example.com-0f3cabb8dd1bf0bb4
sh-4.2$ hostname
p-172-31-60-8.ec2.internal
```
这种方式显得很专业，与 Web 的 Session Manager 连接 EC2 实例一样，看似 SSH, 其实根本不需要 EC2 主机上启动 sshd 服务。但是必须在本地配置好连接 AWS 的 profile, 或 session key 和 secret key。如果没有安装  Session Manager Plugin 的话，运行 aws ssm start-session 时会提示

# 本文用到的参考连接
https://yanbin.blog/aws-session-manager-ec2-instance/