CloudLink: Вимкніть консольний доступ AWS до ОС CloudLink

Dell рекомендує видалити агент SSM з екземплярів CloudLink, оскільки це призведе до вразливостей безпеки.

В AWS агент SSM попередньо встановлений на всіх підтримуваних операційних системах, щоб дозволити доступ безпосередньо до консолі операційної системи.

Продукти, на які поширюється вплив, і версії: Усі версії CloudLink до 7.1.3 при розгортанні в AWS.

Щоб вимкнути вхід через диспетчер сеансів в ОС CloudLink, адміністратор повинен видалити агент SSM з екземпляра CloudLink.

Існує два способи вирішення:Робочий процес виправлення 1:
  Коли користувач має доступ до консолі CloudLink через диспетчер сеансів.
Робочий процес виправлення 2:   Якщо користувач не має доступу до консолі CloudLink через диспетчер сеансів.


Робочий процес виправлення 1:

1.    Екземпляр CloudLink.


2.    На вкладці Диспетчер сеансів -> натисніть кнопку


Підключитися 3.    Перебуваючи на консолі CloudLink за допомогою диспетчера сеансів, введіть sudo su


4.    Щоб перевірити стан агента SSM, запущеного на консолі CloudLink, запустіть наведену нижче команду
"systemctl status snap.amazon-ssm-agent.amazon-ssm-agent.service"


5.    Щоб перерахувати запущений агент SSM на консолі CloudLink, запустіть наведену нижче команду
"snap list: amazon-ssm-agent"


6.    Щоб видалити агент SSM з консолі CloudLink, запустіть наведену нижче команду
«snap remove amazon-ssm-agent»

Перевірити агент SSM видалено з екземпляра CloudLink.

7.    Коли агент SSM видаляє екземпляр CloudLink, кнопка «підключитися» вимикається

8.    Коли користувач намагається SSH на IP-адресу CloudLink, він переходить до запиту


на вхід у CloudLink 9.    Перевірте стан агента SSM .  Переконайтеся, що агент "Зупинено"


10.    Перевірте список агентів SSM.  Повернення статусу "Відповідні знімки не встановлено".


Робочий процес виправлення 2:
Диспетчер сеансів не вмикається, якщо не вибрано роль IAM. Таким чином, без диспетчера сеансів користувач не зможе отримати доступ до консолі CloudLink.
Щоб перевірити профіль IAM, увійдіть до AWS -> Запустіть екземпляр EC2 -> Додаткові відомості -> Профіль екземпляра IAM Рекомендовано не вибирати будь-який профіль у розділі «Профіль

екземпляра IAM», це призведе до того, що диспетчер сеансів не зможе встановити з'єднання з консоллю CloudLink.


ПРИМІТКА: На даний момент, коли диспетчер сеансів не може встановити з'єднання з консоллю CloudLink, Користувач повинен звернутися до служби технічної підтримки , щоб допомогти видалити агент SSM з екземплярів CloudLink.