CloudLink: Disabilitare l'accesso alla console AWS per CloudLink OS

Dell consiglia di rimuovere l'agente SSM dalle istanze di CloudLink in quanto comporterà vulnerabilità di sicurezza.

In AWS, l'agent SSM è preinstallato su tutti i sistemi operativi supportati per consentire l'accesso diretto alla console del sistema operativo.

Prodotti e versioni interessati: Tutte le versioni di CloudLink fino alla versione 7.1.3 se implementate in AWS.

Per disabilitare l'accesso tramite Session Manager a CloudLink OS, l'amministratore deve disinstallare l'agent SSM dall'istanza CloudLink.

Sono disponibili due soluzioni alternative:
Workflow di correzione 1:   Quando l'utente ha accesso alla console CloudLink tramite Session Manager.
Workflow di correzione 2:   Se l'utente non ha accesso alla console CloudLink tramite Session Manager,


Workflow di correzione 1:

1.    Istanza di CloudLink.


2.    Nella scheda Session Manager -> cliccare sul pulsante


Connect 3.    Una volta visualizzata la console CloudLink tramite Session Manager, immettere sudo su


4.    Per verificare lo stato dell'agent SSM in esecuzione sulla console CloudLink, eseguire il comando
seguente"systemctl status snap.amazon-ssm-agent.amazon-ssm-agent.service"


5.    Per elencare l'agente SSM in esecuzione sulla console CloudLink, eseguire il comando
riportato di seguito"snap list amazon-ssm-agent"


6.    Per rimuovere l'agent SSM dalla console CloudLink, eseguire il comando
seguente"snap remove amazon-ssm-agent"

Convalidare che l'agente SSM sia stato rimosso dall'istanza di CloudLink.

7.    Quando l'agente SSM viene disinstallato nell'istanza CloudLink, il pulsante "connect" viene disabilitato

8.    Quando l'utente tenta di accedere tramite SSH all'indirizzo IP CloudLink, indirizza l'utente al prompt


di accesso a CloudLink 9.    Verificare lo stato dell'agente SSM.  Verificare che l'agent sia "Stopped"


10.    Controllare l'elenco degli agent SSM.  Lo stato restituisce "No matching snaps installed".


Workflow di correzione 2:
Session Manager non è abilitato quando non è selezionato un ruolo IAM. Pertanto, senza la presenza di Session Manager, l'utente non sarà in grado di accedere alla console CloudLink.
Per verificare il profilo IAM, accedere ad AWS -> Avviare l'istanza EC2 -> Dettagli avanzati -> profilo

dell'istanza IAM Si consiglia di non selezionare alcun profilo in "Profilo istanza IAM", in questo modo il Session Manager non sarà in grado di stabilire una connessione alla console CloudLink.


NOTA: A questo punto, quando Session Manager non è in grado di stabilire la connessione con la console CloudLink, l'utente deve contattare il supporto tecnico per assistenza nella disinstallazione dell'agent SSM dalle istanze di CloudLink.