Cómo grabar conexiones RDP

El acceso a los nodos justo a tiempo incluye la posibilidad de grabar las conexiones con el protocolo para escritorios remotos (RDP) realizadas con los nodos de Windows Server. Para grabar las conexiones RDP, se necesita un bucket de S3 y una clave de AWS Key Management Service (AWS KMS) administrada por el cliente. La AWS KMS key se usa para cifrar temporalmente los datos de la grabación mientras se generan y almacenan en los recursos de Systems Manager. La clave administrada por el cliente debe ser una clave simétrica con un uso de cifrado y descifrado. Puede usar una clave multirregional para la organización o debe crear una clave administrada por el cliente en cada región en la que haya habilitado el acceso a los nodos justo a tiempo.

Si habilitó el cifrado de KMS en el bucket de S3 en el que almacena las grabaciones, debe dar acceso a la clave administrada por el cliente. Esta clave se utiliza para el cifrado del bucket en la entidad principal de servicio ssm-guiconnect. Esta clave administrada por el cliente puede ser diferente a la que especifique en la configuración de grabación, y debe incluir para que se requiere el permiso kms:CreateGrant para establecer conexiones.

Configuración del cifrado de bucket de S3 para las grabaciones RDP

Las grabaciones de su conexión se almacenan en el bucket de S3 que especifique al habilitar la grabación RDP.

Si utiliza una clave de KMS como mecanismo de cifrado predeterminado para el bucket de S3 (SSE-KMS), debe permitir que la entidad principal de servicio ssm-guiconnect acceda a la acción kms:GenerateDataKey en la clave. Recomendamos usar una clave administrada por el cliente al usar el cifrado de SSE-KMS con un bucket de S3. Esto se debe a que puede actualizar la política de claves asociada para una clave administrada por el cliente. No puede actualizar las políticas de claves para Claves administradas por AWS.

Utilice la siguiente política de claves administrada por el cliente para permitir que el servicio ssm-guiconnect acceda a la clave KMS para el almacenamiento en S3. Para obtener información sobre la actualización de una clave administrada por el cliente, consulte Cambio de una política de claves en la Guía para desarrolladores de AWS Key Management Service.

Reemplace cada example resource placeholder con su propia información:

{
    "Sid": "Allow the GUI Connect service principal to access S3",
    "Effect": "Allow",
    "Principal": {
        "Service": "ssm-guiconnect.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "account-id"
        },
        "StringLike": {
            "kms:ViaService": "s3.region.amazonaws.com"
        }
    }
}

Cómo configurar permisos de IAM para grabar conexiones RDP

Además de los permisos de IAM necesarios del acceso a los nodos justo a tiempo, el usuario o el rol que utilice deben tener los siguientes permisos en función de la tarea que deba realizar.

Permisos para configurar la grabación de conexiones

Para configurar la grabación de conexiones RDP, se necesitan los siguientes permisos:

Permisos para iniciar conexiones

Para establecer conexiones RDP con acceso a los nodos justo a tiempo, se necesitan los siguientes permisos:

Antes de empezar

Para almacenar las grabaciones de las conexiones, primero debe crear un bucket de S3 y añadir la siguiente política de bucket. Reemplace cada example resource placeholder con su propia información.

Para obtener información sobre cómo agregar una política de bucket, consulte Cómo agregar una política de bucket mediante la consola de Amazon S3 en la Guía del usuario de Amazon Simple Storage Service.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ConnectionRecording",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ssm-guiconnect.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": [
                "arn:aws:s3:::bucket name", 
                "arn:aws:s3:::bucket name/*"
            ],
            "Condition":{
            "StringEquals":{
                "aws:SourceAccount":"123456789012"
                }
            }            
        }
    ]
}

Habilitación y configuración de la grabación de conexiones RDP

En el siguiente procedimiento, se describe cómo habilitar y configurar la grabación de conexiones RDP.

Valores de estado de la grabación de conexiones RDP

Los valores de estado válidos para las grabaciones de conexiones RDP son los siguientes: