AWS Systems ManagerChange Managersteht neuen Kunden nicht mehr offen. Bestandskunden können den Service weiterhin wie gewohnt nutzen. Weitere Informationen finden Sie unter Änderung der AWS Systems ManagerChange Manager Verfügbarkeit.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aufzeichnen von RDP-Verbindungen

Just-in-time Der Knotenzugriff beinhaltet die Möglichkeit, RDP-Verbindungen aufzuzeichnen, die zu Ihren Windows Server Knoten hergestellt wurden. Für die Aufzeichnung von RDP-Verbindungen sind ein S3-Bucket und ein kundenverwalteter AWS Key Management Service -Schlüssel (AWS KMS) erforderlich. Das AWS KMS key wird verwendet, um die Aufzeichnungsdaten vorübergehend zu verschlüsseln, während sie generiert und auf Systems Manager Manager-Ressourcen gespeichert werden. Bei dem kundenverwalteten Schlüssel muss es sich um einen symmetrischen Schlüssel handeln, der zum Verschlüsseln und Entschlüsseln verwendet wird. Sie können entweder einen Schlüssel für mehrere Regionen für Ihre Organisation verwenden, oder Sie müssen in jeder Region, in der Sie den just-in-time Knotenzugriff aktiviert haben, einen vom Kunden verwalteten Schlüssel erstellen.

Wenn Sie die KMS-Verschlüsselung für den S3-Bucket aktiviert haben, in dem Sie die Aufzeichnungen speichern, müssen Sie dem ssm-guiconnect-Service-Prinzipal Zugriff auf den kundenverwalteten Schlüssel gewähren, der für die Bucket-Verschlüsselung verwendet wird. Bei dem kundenverwalteten Schlüssel kann es sich um einen anderen Schlüssel handeln als den, den Sie in den Einstellungen für die Aufzeichnung angegeben haben. Darin muss auch festgelegt sein, wofür die kms:CreateGrant-Berechtigung zum Herstellen von Verbindungen erforderlich ist.

Konfigurieren der S3-Bucket-Verschlüsselung für RDP-Aufzeichnungen

Verbindungsaufzeichnungen werden in dem S3-Bucket gespeichert, den Sie angeben, wenn Sie die RDP-Aufzeichnung aktivieren.

Wenn Sie einen KMS-Schlüssel als Standardverschlüsselungsmechanismus für den S3-Bucket (SSE-KMS) verwenden, müssen Sie dem ssm-guiconnect-Service-Prinzipal Zugriff auf kms:GenerateDataKey-Aktionen für den Schlüssel gewähren. Wir empfehlen die Verwendung eines kundenverwalteten Schlüssels, wenn Sie die SSE-KMS-Verschlüsselung mit dem S3-Bucket verwenden. Der Grund ist, dass Sie für einen kundenverwalteten Schlüssel die zugehörige Schlüsselrichtlinie aktualisieren können. Sie können die wichtigsten Richtlinien für Von AWS verwaltete Schlüssel nicht aktualisieren.

Verwenden Sie die folgende Richtlinie für kundenverwaltete Schlüssel, um dem ssm-guiconnect-Service Zugriff auf den KMS-Schlüssel für S3-Speicher zu gewähren. Informationen zur Aktualisierung eines kundenverwalteten Schlüssels finden Sie unter Ändern einer Schlüsselrichtlinie im Entwicklerhandbuch für AWS Key Management Service .

Ersetzen Sie sie jeweils example resource placeholder durch Ihre eigenen Informationen:

{
    "Sid": "Allow the GUI Connect service principal to access S3",
    "Effect": "Allow",
    "Principal": {
        "Service": "ssm-guiconnect.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "account-id"
        },
        "StringLike": {
            "kms:ViaService": "s3.region.amazonaws.com"
        }
    }
}

Konfigurieren von IAM-Berechtigungen für die Aufzeichnung von RDP-Verbindungen

Zusätzlich zu den erforderlichen IAM-Berechtigungen für den just-in-time Knotenzugriff müssen dem Benutzer oder der Rolle, die Sie verwenden, je nach der Aufgabe, die Sie ausführen müssen, die folgenden Berechtigungen gewährt werden.

Berechtigungen für die Konfiguration der Verbindungsaufzeichnung

Zum Konfigurieren der RDP-Verbindungsaufzeichnung sind die folgenden Berechtigungen erforderlich:

Berechtigungen für das Initiieren von Verbindungen

Um RDP-Verbindungen mit just-in-time Knotenzugriff herzustellen, sind die folgenden Berechtigungen erforderlich:

Bevor Sie beginnen

Um Ihre Verbindungsaufzeichnungen zu speichern, müssen Sie zunächst einen S3-Bucket erstellen und die folgende Bucket-Richtlinie hinzufügen. Ersetzen Sie jeden example resource placeholder durch Ihre Informationen.

(Informationen zum Hinzufügen oder Ändern einer Bucket-Richtlinie finden Sie unter Hinzufügen einer Bucket-Richtlinie mit der Amazon-S3-Konsole im Benutzerhandbuch für Amazon Simple Storage Service.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ConnectionRecording",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ssm-guiconnect.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket", 
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ],
            "Condition":{
            "StringEquals":{
                "aws:SourceAccount":"111122223333"
                }
            }            
        }
    ]
}

Aktivierung und Konfiguration der RDP-Verbindungsaufzeichnung

Im folgenden Verfahren wird beschrieben, wie Sie die RDP-Verbindungsaufzeichnung aktivieren und konfigurieren.

Statuswerte für die RDP-Verbindungsaufzeichnung

Zu den gültigen Statuswerten für RPD-Verbindungsaufzeichnungen gehören: