Installation von SSM Agent auf hybriden Windows Server-Knoten - AWS Systems Manager
Automatische Drehung des privaten Schlüssels einrichtenAbmelden und Neuregistrieren eines verwalteten Knotens (Windows Server)

AWS Systems ManagerChange Managersteht neuen Kunden nicht mehr offen. Bestandskunden können den Service weiterhin wie gewohnt nutzen. Weitere Informationen finden Sie unter Änderung der AWS Systems ManagerChange Manager Verfügbarkeit.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Installation von SSM Agent auf hybriden Windows Server-Knoten

In diesem Thema wird beschrieben, wie die Installation AWS Systems Manager SSM Agent auf Windows Server Maschinen in einer Hybrid- und Multicloud-Umgebung durchgeführt wird. Informationen zur Installation SSM Agent auf EC2 Instanzen für finden Sie Windows Server unterManuelles Installieren und Deinstallieren SSM Agent auf EC2 Instanzen für Windows Server.

Bevor Sie beginnen, suchen Sie den Aktivierungscode und die Aktivierungs-ID, die Sie während der Hybrid-Aktivierung generiert haben, wie unter Eine Hybridaktivierung erstellen, um Knoten bei Systems Manager zu registrieren beschrieben. Sie geben den Code und die ID in den folgenden Schritten an.

Zur Installation SSM Agent auf EC2 Windows Server Nicht-Computern in einer Hybrid- und Multi-Cloud-Umgebung

  1. Melden Sie sich bei einem Server oder einer VM in Ihrer Hybrid- und Multi-Cloud-Umgebung an.

  2. Wenn Sie einen HTTP- oder HTTPS-Proxy verwenden, müssen Sie die http_proxy oder https_proxy-Umgebungsvariablen in der aktuellen Shell-Sitzung einstellen. Wenn Sie keinen Proxy verwenden, können Sie diesen Schritt überspringen.

    Legen Sie für einen HTTP-Proxyserver folgende Variable fest:

    http_proxy=http://hostname:port
https_proxy=http://hostname:port

    Legen Sie für einen HTTPS-Proxyserver folgende Variable fest:

    http_proxy=http://hostname:port
https_proxy=https://hostname:port

    Konfigurieren Sie für PowerShell die INet Win-Proxyeinstellungen:

    [System.Net.WebRequest]::DefaultWebProxy

$proxyServer = "http://hostname:port"
$proxyBypass = "169.254.169.254"
$WebProxy = New-Object System.Net.WebProxy($proxyServer,$true,$proxyBypass)

[System.Net.WebRequest]::DefaultWebProxy = $WebProxy
    Anmerkung

    Für den PowerShell Betrieb ist eine INet Win-Proxykonfiguration erforderlich. Weitere Informationen finden Sie unter SSM Agent-Proxy-Einstellungen und Systems Manager-Services.

  3. Öffnen Sie Windows PowerShell im erweiterten (Verwaltungs-)Modus.

  4. Kopieren Sie den folgenden Befehlsblock in Windows PowerShell. Ersetzen Sie jeden example resource placeholder durch Ihre Informationen. Zum Beispiel der Aktivierungscode und die Aktivierungs-ID, die generiert wurden, wenn Sie eine Hybrid-Aktivierung erstellen, zusammen mit der ID der Datei, SSM Agent von der AWS-Region Sie herunterladen möchten.

    Wichtig

    Beachten Sie die folgenden wichtigen Details:

    • Die Verwendung ssm-setup-cli für EC2 Nichtinstallationen maximiert die Sicherheit Ihrer Systems Manager Manager-Installation und -Konfiguration.

    • ssm-setup-cli unterstützt eine manifest-url-Option, die die Quelle bestimmt, von der der Agent heruntergeladen wird. Geben Sie für diese Option keinen Wert an, es sei denn, Ihre Organisation verlangt dies.

    • Sie können das hier bereitgestellte Skript verwenden, um die Signatur von ssm-setup-cli zu überprüfen.

    • Verwenden Sie bei der Registrierung von Instances nur den bereitgestellten Download-Link für ssm-setup-cli. ssm-setup-clisollte nicht separat für die zukünftige Verwendung aufbewahrt werden.

    regionsteht für den Bezeichner einer Region AWS Systems Manager, die von AWS-Region unterstützt wird, z. B. us-east-2 für die Region USA Ost (Ohio). Eine Liste der unterstützten region Werte finden Sie in der Spalte Region der Systems Manager Manager-Dienstendpunkte in der Allgemeine Amazon Web Services-Referenz.

    ssm-setup-cli enthält zusätzlich die folgenden Optionen:

    • version – Gültige Werte sind latest und stable.

    • downgrade – Setzt den Agenten auf eine frühere Version zurück.

    • skip-signature-validation – Überspringt die Signaturvalidierung während des Herunterladens und der Installation des Agenten.

    64-bit
    [System.Net.ServicePointManager]::SecurityProtocol = 'TLS12'
$code = "activation-code"
$id = "activation-id"
$region = "us-east-1"
$dir = $env:TEMP + "\ssm"
New-Item -ItemType directory -Path $dir -Force
cd $dir
(New-Object System.Net.WebClient).DownloadFile("https://amazon-ssm-$region.s3.$region.amazonaws.com/latest/windows_amd64/ssm-setup-cli.exe", $dir + "\ssm-setup-cli.exe")
./ssm-setup-cli.exe -register -activation-code="$code" -activation-id="$id" -region="$region"
Get-Content ($env:ProgramData + "\Amazon\SSM\InstanceData\registration")
Get-Service -Name "AmazonSSMAgent"

  5. Drücken Sie Enter.

Anmerkung

Wenn der Befehl fehlschlägt, überprüfen Sie, ob Sie die neueste Version von AWS -Tools für PowerShell verwenden.

Der Befehl hat folgende Auswirkungen:

  • Lädt SSM Agent herunter und installiert es auf dem Computer.

  • Registriert den Computer beim Systems Manager Service.

  • Gibt eine Antwort auf die Anfrage zurück, die der folgenden ähnlich ist:

        Directory: C:\Users\ADMINI~1\AppData\Local\Temp\2


Mode                LastWriteTime         Length Name
----                -------------         ------ ----
d-----       07/07/2018   8:07 PM                ssm
{"ManagedInstanceID":"mi-008d36be46EXAMPLE","Region":"us-east-2"}

Status      : Running
Name        : AmazonSSMAgent
DisplayName : Amazon SSM Agent

Die Maschine ist nun ein verwalteter Knoten. Diese verwalteten Knoten werden jetzt mit dem Präfix „mi-“ gekennzeichnet. Sie können verwaltete Knoten auf der Seite Verwaltete Knoten in anzeigenFleet Manager, indem Sie den AWS CLI Befehl describe-instance-informationoder den API-Befehl DescribeInstanceInformationverwenden.

Automatische Drehung des privaten Schlüssels einrichten

Um Ihre Sicherheitslage zu stärken, können Sie AWS Systems Manager Agent (SSM Agent) so konfigurieren, dass der private Schlüssel für eine Hybrid- und Multi-Cloud-Umgebung automatisch rotiert wird. Sie können auf dieses Feature zugreifen, indem Sie SSM Agent-Version 3.0.1031.0 oder höher verwenden. Aktivieren Sie dieses Feature wie folgt.

Um SSM Agent zu konfigurieren, um den privaten Schlüssel für eine Hybrid- und Multi-Cloud-Umgebung zu rotieren

  1. Navigieren Sie zu /etc/amazon/ssm/ auf einem Linux-Computer oder zu C:\Program Files\Amazon\SSM für einen Windows Server-Computer.

  2. Kopieren Sie den Inhalt von amazon-ssm-agent.json.template in eine neue Datei namens amazon-ssm-agent.json. Speichern Sie amazon-ssm-agent.json in demselben Verzeichnis, in dem sich amazon-ssm-agent.json.template befindet.

  3. Suchen Sie Profile, KeyAutoRotateDays. Geben Sie die gewünschte Anzahl der Tage zwischen den automatischen Drehungen des privaten Schlüssels eingeben.

  4. Starten Sie SSM Agent neu.

Jedes Mal, wenn Sie die Konfiguration ändern, starten Sie SSM Agent neu.

Sie können andere Features von SSM Agent mit dem gleichen Verfahren personalisieren. Eine up-to-date Liste der verfügbaren Konfigurationseigenschaften und ihrer Standardwerte finden Sie unter Definitionen von Konfigurationseigenschaften.

Abmelden und Neuregistrieren eines verwalteten Knotens (Windows Server)

Sie können die Registrierung eines verwalteten Knotens aufheben, indem Sie den DeregisterManagedInstanceAPI-Vorgang entweder in den Tools für Windows AWS CLI oder in den Tools für Windows aufrufen. PowerShell Hier sehen Sie ein Beispiel für einen CLI-Befehl:

aws ssm deregister-managed-instance --instance-id "mi-1234567890"

Um die verbleibenden Registrierungsinformationen für den Agenten zu entfernen, entfernen Sie den IdentityConsumptionOrder-Schlüssel aus der amazon-ssm-agent.json-Datei. Führen Sie anschließend den folgenden Befehl aus:

amazon-ssm-agent -register -clear

Anmerkung

Sie können einen lokalen Server, ein Edge-Gerät oder eine VM mit demselben Aktivierungscode und derselben ID erneut registrieren, solange Sie das Instance-Limit für den angegebenen Aktivierungscode und die angegebene ID nicht erreicht haben. Sie können das Instance-Limit für einen Aktivierungscode und eine Aktivierungs-ID überprüfen, indem Sie in der AWS CLI die describe-activations API aufrufen. Nachdem Sie den Befehl ausgeführt haben, stellen Sie sicher, dass der Wert für RegistrationCount nicht über RegistrationLimit liegt. Wenn der Wert über dem Limit liegt, müssen Sie einen anderen Aktivierungscode und eine andere Aktivierungs-ID verwenden.

So registrieren Sie einen verwalteten Knoten auf einem Windows Server-Hybridcomputer neu

  1. Verbinden Sie sich mit Ihrer Maschine.

  2. Führen Sie den folgenden Befehl aus. Achten Sie darauf, die Platzhalterwerte durch den Aktivierungscode und die Aktivierungs-ID zu ersetzen, die bei der Erstellung einer Hybrid-Aktivierung generiert wurden, sowie durch die Kennung der Region, aus der Sie den SSM Agent herunterladen möchten.

    $dir = $env:TEMP + "\ssm"
cd $dir
Start-Process ./ssm-setup-cli.exe -ArgumentList @(
    "-register",
    "-activation-code=$code",
    "-activation-id=$id",
    "-region=$region"
) -Wait -NoNewWindow