Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Enregistrement des connexions RDP

Just-in-time l'accès aux nœuds inclut la possibilité d'enregistrer les connexions RDP établies avec vos Windows Server nœuds. L'enregistrement des connexions RDP nécessite un compartiment S3 et une clé gérée par le client AWS Key Management Service (AWS KMS). Le AWS KMS key est utilisé pour chiffrer temporairement les données d'enregistrement pendant qu'elles sont générées et stockées sur les ressources de Systems Manager. La clé gérée par le client doit être une clé symétrique utilisant les fonctions de chiffrement et de déchiffrement. Vous pouvez soit utiliser une clé multirégionale pour votre organisation, soit créer une clé gérée par le client dans chaque région où vous avez activé l'accès aux just-in-time nœuds.

Si vous avez activé le chiffrement KMS sur le compartiment S3 dans lequel vous stockez les enregistrements, vous devez fournir au principal du ssm-guiconnect service l'accès à la clé gérée par le client utilisée pour le chiffrement du compartiment. Cette clé gérée par le client peut être différente de celle que vous spécifiez dans les paramètres d'enregistrement, qui doivent inclure les éléments pour lesquels l'kms:CreateGrantautorisation est requise pour établir des connexions.

Configuration du chiffrement du compartiment S3 pour les enregistrements RDP

Vos enregistrements de connexion sont stockés dans le compartiment S3 que vous spécifiez lorsque vous activez l'enregistrement RDP.

Si vous utilisez une clé KMS comme mécanisme de chiffrement par défaut pour le compartiment S3 (SSE-KMS), vous devez autoriser le principal du ssm-guiconnect service à kms:GenerateDataKey agir sur la clé. Nous recommandons d'utiliser une clé gérée par le client lors de l'utilisation du chiffrement SSE-KMS avec un compartiment S3. Cela est dû au fait que vous pouvez mettre à jour la politique relative aux clés associée à une clé gérée par le client. Vous ne pouvez pas mettre à jour les principales politiques pour Clés gérées par AWS.

Utilisez la politique de clé gérée par le client suivante pour autoriser le ssm-guiconnect service à accéder à la clé KMS pour le stockage S3. Pour plus d'informations sur la mise à jour d'une clé gérée par le client, voir Modifier une politique en matière de clés dans le Guide du AWS Key Management Service développeur.

Remplacez chacune example resource placeholder par vos propres informations :

{
    "Sid": "Allow the GUI Connect service principal to access S3",
    "Effect": "Allow",
    "Principal": {
        "Service": "ssm-guiconnect.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "account-id"
        },
        "StringLike": {
            "kms:ViaService": "s3.region.amazonaws.com"
        }
    }
}

Configuration des autorisations IAM pour l'enregistrement des connexions RDP

Outre les autorisations IAM requises pour l'accès aux just-in-time nœuds, l'utilisateur ou le rôle que vous utilisez doit disposer des autorisations suivantes en fonction de la tâche que vous devez effectuer.

Autorisations pour configurer l'enregistrement des connexions

Pour configurer l'enregistrement des connexions RDP, les autorisations suivantes sont requises :

Autorisations pour l’établissement de connexions

Pour établir des connexions RDP avec accès aux just-in-time nœuds, les autorisations suivantes sont requises :

Avant de commencer

Pour stocker vos enregistrements de connexion, vous devez d'abord créer un compartiment S3 et ajouter la politique de compartiment suivante. Remplacez chaque example resource placeholder par vos propres informations.

(Pour plus d'informations sur l'ajout d'une politique de compartiment, consultez la section Ajouter une politique de compartiment à l'aide de la console Amazon S3 dans le guide de l'utilisateur d'Amazon Simple Storage Service.)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ConnectionRecording",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ssm-guiconnect.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": [
                "arn:aws:s3:::bucket name", 
                "arn:aws:s3:::bucket name/*"
            ],
            "Condition":{
            "StringEquals":{
                "aws:SourceAccount":"123456789012"
                }
            }            
        }
    ]
}

Activation et configuration de l'enregistrement des connexions RDP

La procédure suivante décrit comment activer et configurer l'enregistrement des connexions RDP.

Connexion RDP enregistrant les valeurs d'état

Les valeurs d'état valides pour les enregistrements de connexion RDP sont les suivantes :