Una policy di sicurezza vieta l'accesso diretto tramite SSH/RDP alle istanze EC2; il personale autorizzato utilizza invece AWS Systems Manager Session Manager. Gli utenti non riescono a connettersi a un'istanza Ubuntu EC2 che ha l'SSM Agent preinstallato, ma possono usare Session Manager per accedere ad altre istanze nella stessa sottorete. Gli utenti appartengono a un gruppo IAM che dispone delle autorizzazioni di Session Manager per tutte le istanze. Quale azione dovrebbe intraprendere un amministratore SysOps per risolvere il problema?

L'opzione corretta è allegare la policy gestita AmazonSSMManagedInstanceCore al profilo dell'istanza IAM. Questa policy fornisce le autorizzazioni necessarie all'SSM Agent per comunicare con il servizio AWS Systems Manager, condizione fondamentale affinché Session Manager possa stabilire una connessione. Anche se l'SSM Agent è preinstallato, senza le autorizzazioni IAM appropriate, non può funzionare correttamente. Aprire la porta 22 (SSH) è errato perché la policy di sicurezza vieta l'accesso diretto tramite SSH/RDP e Session Manager non richiede l'apertura di queste porte. Configurare l'SSM Agent per usare un nome utente specifico non risolve il problema di fondo delle autorizzazioni mancanti per la comunicazione dell'agente con il servizio SSM. Generare una nuova coppia di chiavi SSH è irrilevante, poiché Session Manager non si basa su chiavi SSH per l'autenticazione delle sessioni.