CloudLink: Wyłącz dostęp konsoli AWS do systemu operacyjnego CloudLink

Firma Dell zaleca usunięcie agenta SSM z instancji CloudLink, ponieważ prowadzi to do luk w zabezpieczeniach.

W AWS agent SSM jest wstępnie zainstalowany we wszystkich obsługiwanych systemach operacyjnych, aby umożliwić bezpośredni dostęp do konsoli systemu operacyjnego.

Produkty i wersje, których dotyczy problem: Wszystkie wersje CloudLink do 7.1.3 po wdrożeniu w AWS.

Aby wyłączyć logowanie za pośrednictwem menedżera sesji do systemu operacyjnego CloudLink, administrator musi odinstalować agenta SSM z instancji CloudLink.

Istnieją dwa sposoby obejścia problemu:
przepływ pracy naprawczy 1:   Gdy użytkownik ma dostęp do konsoli CloudLink za pośrednictwem Menedżera sesji.
Przepływ pracy naprawczy 2:   Jeśli użytkownik nie ma dostępu do konsoli CloudLink za pośrednictwem Menedżera sesji.


Przepływ pracy naprawczy 1:

1.    Wystąpienie cloudlink.


2.    Na karcie Menedżer sesji > kliknij przycisk


Connect (Połącz) 3.    Po przejściu do konsoli CloudLink przy użyciu menedżera sesji wprowadź sudo su


4.    Aby sprawdzić stan agenta SSM działającego w konsoli CloudLink, uruchom poniższe polecenie
"systemctl status snap.amazon-ssm-agent.amazon-ssm-agent.service"


5.    Aby wyświetlić listę uruchomionego agenta SSM w konsoli CloudLink, uruchom poniższe polecenie
"snap list amazon-ssm-agent"


6.    Aby usunąć agenta SSM z konsoli CloudLink, uruchom poniższe polecenie
"snap remove amazon-ssm-agent"

Validate SSM agent is removed from CloudLink instance.

7.    Po odinstalowaniu instancji CloudLink przez agenta SSM przycisk "connect" zostaje wyłączony

8.    Gdy użytkownik próbuje nawiązać połączenie SSH z adresem IP CloudLink, użytkownik musi przejść do monitu


logowania CloudLink nr 9.    Sprawdź stan agenta SSM.  Sprawdź, czy agent jest "zatrzymany"


10.    Sprawdź listę agentów SSM.  Stan zwracany jest komunikat "No matching snaps installed" (Brak zainstalowanych pasujących pakietów snap).


Przepływ pracy naprawczy 2:
Menedżer sesji nie jest włączony, gdy nie wybrano roli IAM. W związku z tym bez obecności menedżera sesji użytkownik nie będzie mógł uzyskać dostępu do konsoli CloudLink.
Aby zweryfikować profil IAM, zaloguj się do AWS -> Uruchom wystąpienie EC2 -> Szczegóły zaawansowane -> profil

instancji IAM Zaleca się nie wybierać żadnego profilu w sekcji "Profil instancji IAM", co spowoduje, że menedżer sesji nie będzie w stanie ustanowić połączenia z konsolą CloudLink.


UWAGA: W tym momencie, gdy menedżer sesji nie może ustanowić połączenia z konsolą CloudLink, użytkownik musi skontaktować się z działem pomocy technicznej , aby pomóc w odinstalowaniu agenta SSM z instancji CloudLink.