全部產品
Search

搜尋本產品

    Elastic Compute Service：通過會話管理CLI註冊臨時公開金鑰免密登入執行個體

    文件中心

    Elastic Compute Service：通過會話管理CLI註冊臨時公開金鑰免密登入執行個體

    更新時間：Dec 18, 2024

    如果您使用第三方SSH工具以金鑰組的方式認證登入Linux執行個體，您可以向執行個體中註冊有效期間60秒的臨時公開金鑰，然後在60秒之內使用私密金鑰登入執行個體，該方式相比永久金鑰組更加安全。本文為您介紹如何通過會話管理CLI（ali-instance-cli）向執行個體註冊臨時公開金鑰並免密登入。

    什麼是臨時公開金鑰？

    臨時公開金鑰認證是一種安全連線執行個體的方案，您可以不在執行個體中設定金鑰組，然後在每次通過SSH串連執行個體前，向執行個體中註冊一個有效期間60秒的臨時公開金鑰，然後通過與之對應的私密金鑰免密登入執行個體。

    說明

    臨時公開金鑰儲存在雲助手服務端。

    準備工作

    開啟會話管理服務

    在使用ali-instance-cli之前，需要先確保當前阿里雲帳號已開啟會話管理服務。開啟會話管理服務僅可以在控制台操作，具體操作如下：

    1. 登入ECS管理主控台。

    2. 在左側導覽列，選擇執行個體與鏡像 > 執行個體。

    3. 在頁面左側頂部，選擇目標資源所在的資源群組和地區。

    4. 在執行個體頁面，找到待串連的執行個體，單擊對應操作列的遠端連線。

    image

    1. 單擊展開其他登入方式。

    2. 找到通過會話管理遠端連線，將會話管理已關閉右側的按鈕開啟，並根據介面提示完成開通操作。

    image

    image

    檢查執行個體運行狀態是否為運行中

    僅支援通過會話管理串連到運行中狀態的執行個體。

    控制台

    執行個體運行狀態可以在ECS控制台中的執行個體模組查看，運行中的執行個體如圖所示：

    查看執行個體狀態的操作說明，請參見查看執行個體資訊。

    image

    image

    阿里雲CLI

    如果您已經配置好了阿里雲CLI，您可以通過以下命令查詢執行個體運行狀態。關於該API的更多參數說明，請參見DescribeInstanceStatus - 查詢執行個體的狀態資訊列表。

    以查詢杭州地區下執行個體ID為i-bp1******執行個體為例，輸入以下命令查詢執行個體運行狀態。
    aliyun ecs DescribeInstanceStatus --region cn-hangzhou --RegionId 'cn-hangzhou' --InstanceId.1 'i-bp1******'

    如果查詢出對應執行個體的Status為Running則執行個體為運行中。

    {
  "TotalCount": 1,
  "RequestId": "A413****-****-****-****-****611B",
  "PageSize": 1,
  "PageNumber": 1,
  "InstanceStatuses": {
    "InstanceStatus": [
      {
        "Status": "Running",
        "InstanceId": "i-bp1******"
      }
    ]
  }
}

    除此API外，您還可以通過其他API查詢執行個體運行狀態，請參見DescribeInstances - 查詢執行個體的詳細資料列表。

    API

    如果需要通過API查詢執行個體運行狀態，請參見DescribeInstanceStatus - 查詢執行個體的狀態資訊列表、DescribeInstances - 查詢執行個體的詳細資料列表。

    檢查執行個體雲助手Agent是否已安裝

    會話管理雲端式助手的功能實現，您可以通過以下方式查詢執行個體是否已經安裝雲助手Agent。

    2017年12月01日之後使用官方公用鏡像建立的ECS執行個體，預設預裝了雲助手Agent。如果您的執行個體是2017年12月01日之前購買的或使用自行上傳的自訂鏡像建立的執行個體，需自行安裝雲助手Agent，請參見安裝雲助手Agent。

    控制台

    會話管理雲端式助手的功能實現，需要在執行個體中安裝雲助手Agent。雲助手Agent狀態可以在ECS控制台的雲助手模組查看，已經安裝雲助手的執行個體如圖所示：

    2017年12月01日之後使用官方公用鏡像建立的ECS執行個體，預設預裝了雲助手Agent。如果您的執行個體是2017年12月01日之前購買的或使用自行上傳的自訂鏡像建立的執行個體，需自行安裝雲助手Agent，請參見安裝雲助手Agent。

    image

    image

    查看雲助手Agent狀態以及處理異常狀態的具體操作，請參見查看雲助手狀態及異常狀態處理。

    阿里雲CLI

    如果您已經配置好了阿里雲CLI，您可以通過以下命令查詢執行個體是否安裝雲助手且雲助手版本是否支援使用會話管理。具體參數說明，請參見DescribeCloudAssistantStatus - 查詢雲助手安裝狀態。

    以查詢杭州地區下執行個體ID為i-bp1******執行個體為例，輸入以下命令查詢執行個體運行狀態。
    aliyun ecs DescribeCloudAssistantStatus --region cn-hangzhou --RegionId 'cn-hangzhou' --InstanceId.1 'i-bp1******'

    如果查詢出CloudAssistantStatus（雲助手運行狀態）為true且SupportSessionManager（是否支援會話管理）也為true，即該執行個體支援通過會話管理串連執行個體。

    {
  "TotalCount": 1,
  "PageSize": 1,
  "RequestId": "DB34****-****-****-****-****A749",
  "NextToken": "",
  "PageNumber": 1,
  "InstanceCloudAssistantStatusSet": {
    "InstanceCloudAssistantStatus": [
      {
        "CloudAssistantVersion": "2.2.3.857",
        "SupportSessionManager": true,
        "InstanceId": "i-bp1******",
        "InvocationCount": 4,
        "OSType": "Linux",
        "CloudAssistantStatus": "true",
        "LastHeartbeatTime": "2024-12-10T02:38:04Z",
        "LastInvokedTime": "2024-12-08T16:02:45Z",
        "ActiveTaskCount": 0
      }
    ]
  }
}

    API

    如果需要通過API查詢執行個體雲助手Agent狀態，請參見DescribeCloudAssistantStatus - 查詢雲助手安裝狀態。

    準備用於使用會話管理的RAM使用者的憑證

    在使用 ali-instance-cli 工具時，設定階段要求設定RAM使用者的AccessKey、STS Token。當通過會話管理操作串連執行個體時，系統會驗證此憑證對應的RAM使用者是否擁有ecs:StartTerminalSession許可權，這是允許通過會話管理建立與ECS執行個體串連的必要許可權。

    此外，在自訂權限原則時，可以通過指定Resource欄位來限定RAM使用者能夠通過會話管理串連的具體ECS執行個體。權限原則樣本如下：

    {
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    }
  ]
}

    關於CredentialsURI、STS Token的更多說明，請參見建立AccessKey、什麼是STS。

    為RAM使用者授權，請參見為RAM使用者授權。

    1. 安裝&配置會話管理CLI

    說明

    如果您已經安裝並配置完成會話管理CLI，可跳過本步驟。

    1.1 安裝

    首先需要在您的個人電腦中安裝會話管理CLI（ali-instance-cli），不同作業系統安裝方式不同，具體操作如下。

    Windows

    點擊下載Windows版ali-instance-cli，並儲存到本地檔案夾中。

    本文以將ali-instance-cli.exe儲存在C:\Users\test檔案夾中為例。

    macOS

    在macOS的終端中，輸入以下命令下載mac版ali-instance-cli。

    curl -O https://aliyun-client-assist.oss-accelerate.aliyuncs.com/session-manager/mac/ali-instance-cli

    下載完成後，輸入以下命令為ali-instance-cli賦予可執行許可權。

    chmod a+x ali-instance-cli

    Linux

    輸入以下命令安裝Linux版ali-instance-cli。

    curl -O https://aliyun-client-assist.oss-accelerate.aliyuncs.com/session-manager/linux/ali-instance-cli

    下載完成後，輸入以下命令為ali-instance-cli賦予可執行許可權。

    chmod a+x ali-instance-cli

    1.2 配置

    在您的個人電腦使用ali-instance-cli串連阿里雲執行個體時，需要配置相關身份憑證，即AccessKey，具體說明，請參見準備用於使用會話管理的RAM使用者的憑證。

    Windows

    1. 選擇開始 > 運行，輸入cmd，按Enter鍵，開啟命令提示字元視窗。

    2. 切換到ali-instance-cli.exe所在目錄，本文以C:\Users\test為例。

      cd C:\Users\test

    3. 配置憑證。支援以下三種配置方式：

      AccessKey

      執行如下命令，並根據介面提示配置Access Key Id、Access Key Secret、Region Id。

      ali-instance-cli.exe configure --mode AK
      STS Token

      執行以下命令完成配置操作：

      ali-instance-cli.exe configure set --mode StsToken --region "<region>" --access-key-id "<ak>"  --access-key-secret "<sk>"   --sts-token "<sts_token>"

      <region>、<ak>、<sk>、<sts_token>要修改為實際的Region ID、AccessKey ID、AccessKey Secret和STS Token。

      CredentialsURI

      執行如下命令，根據介面提示，輸入Credentials URI和Region Id。

      ali-instance-cli.exe configure --mode=CredentialsURI

      配置完成後，顯示如下內容證明配置完成。

      image

    macOS/Linux

    1. 進入ali-instance-cli所在目錄，本文以目前使用者根目錄~為例。

      cd ~

    2. 配置憑證。

      AccessKey

      執行如下命令，並根據介面提示配置Access Key Id、Access Key Secret、Region Id。

      ./ali-instance-cli configure --mode AK
      STS Token

      執行以下命令完成配置操作：

      ./ali-instance-cli configure set --mode StsToken --region "<region>" --access-key-id "<ak>"  --access-key-secret "<sk>"   --sts-token "<sts_token>"

      <region>、<ak>、<sk>、<sts_token>要修改為實際的Region ID、AccessKey ID、AccessKey Secret和STS Token。

      CredentialsURI

      執行如下命令，根據介面提示，配置Credentials URI和Region Id。

      ./ali-instance-cli configure --mode=CredentialsURI

      配置完成後，顯示如下內容證明配置完成。

      image

    2. 向目標執行個體中發送臨時公開金鑰

    2.1 擷取待發送公開金鑰執行個體的ID

    在操作前，需要先擷取待發送公開金鑰匙執行個體的ID，以供後續步驟使用。

    控制台

    1. 登入ECS管理主控台。

    2. 在左側導覽列，選擇執行個體與鏡像 > 執行個體。

    3. 在頁面左側頂部，選擇目標資源所在的資源群組和地區。

    4. 在執行個體頁面，找到目標執行個體，執行個體ID如圖所示。

    image

    阿里雲CLI

    如果您已經配置好了阿里雲CLI，您可以通過以下命令擷取執行個體ID。具體參數說明，請參見DescribeInstances - 查詢執行個體的詳細資料列表。

    以查詢杭州地區下名稱為SessionManager-example的執行個體為例。
    aliyun ecs DescribeInstances --region cn-hangzhou --RegionId 'cn-hangzhou' --InstanceName 'SessionManager-example'

    返回結果中InstanceId即執行個體ID。

    image

    API

    通過API查詢執行個體ID，請參見DescribeInstances - 查詢執行個體的詳細資料列表。

    2.2 產生金鑰組

    在發送臨時公開金鑰前，您需要先在本地產生一對密鑰檔案，其中公開金鑰檔案將用作步驟2.3中的臨時公開金鑰。

    本機為Windows

    開啟命令提示字元，輸入以下命令並根據介面提示，產生金鑰組。

    本樣本以通過OpenSSH用戶端在C:\Users\test目錄下產生金鑰組為例。
    ssh-keygen -t rsa -b 2048 -f id_rsa

    • -t rsa：代表密鑰類型為rsa金鑰組。

    • -b 2048：代表密鑰長度為2048位。

    • -f id_rsa：代表產生金鑰組的檔案名稱以及儲存位置。

    重要

    執行這條命令後，系統會提示您輸入一個私密金鑰口令（passphrase），用於保護私密金鑰。設定私密金鑰口令後，即使私密金鑰被盜，攻擊者也需要私密金鑰口令才可以使用私密金鑰。

    如果您不希望為私密金鑰設定私密金鑰口令，可以直接按斷行符號鍵跳過。

    命令執行完成後，會在當前命令列所在目錄（本文以C:\Users\test為例）下產生一對密鑰檔案：id_rsa.pub（公開金鑰）、id_rsa（私密金鑰）。

    本機為macOS/Linux

    開啟終端，輸入以下命令並根據介面提示，產生金鑰組。

    本樣本以通過OpenSSH用戶端產生金鑰組為例。
    ssh-keygen -t rsa -b 2048 -f id_rsa

    • -t rsa：代表密鑰類型為rsa金鑰組。

    • -b 2048：代表密鑰長度為2048位。

    • -f id_rsa：代表產生金鑰組的檔案名稱以及儲存位置。

    重要

    執行這條命令後，系統會提示您輸入一個私密金鑰口令（passphrase），用於保護私密金鑰。設定私密金鑰口令後，即使私密金鑰被盜，攻擊者也需要私密金鑰口令才可以使用私密金鑰。

    如果您不希望為私密金鑰設定私密金鑰口令，可以直接按斷行符號鍵跳過。

    命令執行完成後，會在當前命令列所在目錄（本文以目前使用者根目錄～為例）下產生一對密鑰檔案：id_rsa.pub（公開金鑰）、id_rsa（私密金鑰）。

    2.3 將公開金鑰發送到執行個體作為臨時公開金鑰

    本機為Windows

    開啟命令提示字元，進入ali-instance-cli.exe工具所在目錄，輸入以下命令向目標執行個體發送臨時公開金鑰。

    其中<instance_id>為待發送公開金鑰的執行個體的ID，<public_key_path>為步驟2.2中產生公開金鑰的檔案路徑，<ecs_username>為與該公開金鑰對應的使用者登入名稱。
    ali-instance-cli.exe send_public_key --instance <instance_id> --public-key <public_key_path> --user-name <ecs_username>

    例如，向執行個體ID為i-bp1******的執行個體的ecs-user使用者註冊臨時公開金鑰，本地公開金鑰儲存路徑為C:\Users\test\id_rsa.pub，可通過以下命令實現。

    ali-instance-cli.exe send_public_key --instance i-bp1****** --public-key C:\Users\test\id_rsa.pub --user-name ecs-user
    重要

    命令執行成功後請在60秒之內登入執行個體。

    本機為macOS/Linux

    開啟終端，進入ali-instance-cli工具所在目錄，輸入以下命令向目標執行個體發送臨時公開金鑰。

    其中<instance_id>為待發送公開金鑰的執行個體的ID，<public_key_path>為步驟2.2中產生公開金鑰的檔案路徑，<ecs_username>為與該公開金鑰對應的使用者登入名稱。
    ./ali-instance-cli send_public_key --instance <instance_id> --public-key <public_key_path> --user-name <ecs_username>

    例如，向執行個體ID為i-bp1******的執行個體的ecs-user使用者註冊臨時公開金鑰，本地公開金鑰儲存路徑為~/id_rsa.pub，可通過以下命令實現。

    ./ali-instance-cli send_public_key --instance i-bp1****** --public-key ~/id_rsa.pub --user-name ecs-user
    重要

    • 命令執行成功後請在60秒之內登入執行個體。

    執行命令報錯ERROR: 'install config_ecs_instance_connect' command failed

    如果執行命令時出現報錯ERROR: 'install config_ecs_instance_connect' command failed，證明執行個體中的雲助手安裝config_ecs_instance_connect外掛程式失敗，您可以嘗試重試命令，如果重試後依然報錯，可以通過以下方式在執行個體中安裝該外掛程式。

    控制台方式

    使用雲助手發送如下命令到目標執行個體，安裝並啟用config_ecs_instance_connect。

    具體操作，請參見建立並執行命令。

    acs-plugin-manager -e -P config_ecs_instance_connect --params --install

    CLI方式

    說明

    以下樣本中的i-bp15vhvt43ciprqkxxxx請替換成實際的執行個體ID。

    aliyun ecs RunCommand --RegionId 'cn-hangzhou' \
 --Type 'RunShellScript' \
 --CommandContent 'acs-plugin-manager -e -P config_ecs_instance_connect --params --install' \
 --InstanceId.1 'i-bp15vhvt43ciprqkxxxx'

    3. 以SSH的方式串連執行個體

    重要

    如果在串連執行個體時提示輸入密碼或公開金鑰不正確，請確認您的公開金鑰是否已經到期。臨時公開金鑰有效期間為60s。

    選擇合適的SSH工具串連執行個體，在本機命令提示字元或終端，輸入以下命令串連執行個體。

    其中<private_key_path>為步驟2.2中產生的私密金鑰檔案路徑，<ecs-username>為執行個體登入名稱，對應步驟2.3中被設定臨時公開金鑰的使用者，<ecs_ip>為您ECS執行個體的公網IP。
    ssh -i <private_key_path> <ecs-username>@<ecs_ip>

    例如，私密金鑰檔案路徑~/id_rsa，登入名稱稱為ecs-user，執行個體公網IP為223.***.***.187可通過以下命令串連執行個體。

    ssh -i ~/id_rsa ecs-user@223.***.***.187

    此外，您也可以結合ali-instance-cli工具的連接埠轉寄功能，實現登入無公網執行個體。具體操作，請參見通過會話管理CLI的連接埠轉寄訪問無公網執行個體。

    常見問題

    執行命令後卡住沒反應（執行個體非運行中狀態）

    如果執行ali-instance-cli命令後命令列卡住沒反應，可能是執行個體沒有處於運行中狀態，如何查看執行個體狀態，請參見本文準備工作章節下的檢查執行個體運行狀態是否為運行中。

    執行命令後卡住沒反應（安全性群組設定問題）

    如果執行ali-instance-cli命令後命令列卡住沒反應，可能是沒有在安全性群組出方向放通對應的連接埠。預設情況下普通安全性群組會在出方向放通所有連接埠的訪問，如果您更改了出方向規則或者使用了企業安全性群組，則可能會出現該問題。相關安全性群組說明如下：

    通過會話管理串連ECS執行個體時，需要確保ECS中啟動並執行雲助手Agent與雲助手服務端的網路連通性，即在安全性群組出方向設定以下規則：

    與SSH、RDP等串連方式不同，由於會話管理是由雲助手Agent主動與會話管理服務端建立WebSocket串連，因此僅需允許存取出方向的雲助手服務端的WebSocket連接埠。關於會話管理的原理，請參見會話管理工作原理。
    重要

    • 如果使用普通安全性群組（包括預設安全性群組），預設情況下會允許存取所有的出方向流量，無需配置。

    • 如果使用企業安全性群組，預設情況下會禁用所有出方向的流量，需要配置以下規則。更多企業安全性群組的說明，請參見普通安全性群組與企業級安全性群組。

    添加安全性群組規則的具體操作，請參見添加安全性群組規則。

    授權策略

    優先順序

    協議類型

    連接埠範圍

    授權對象

    描述

    允許

    1

    自訂TCP

    443

    100.100.0.0/16

    用於訪問雲助手服務端。

    允許

    1

    自訂TCP

    443

    100.0.0.0/8

    訪問雲助手Agent安裝包所在伺服器，用於安裝或更新您的雲助手Agent。

    允許

    1

    自訂UDP

    53

    0.0.0.0/0

    用於解析網域名稱。

    此外，如果您計劃僅通過會話管理串連執行個體，為了增加ECS執行個體的安全性，您可以取消允許存取安全性群組入方向上的SSH連接埠（預設22）或者RDP連接埠（預設3389）的規則。

    執行命令後出現DeliveryTimeout提示（雲助手Agent不線上）

    如圖所示，如果執行ali-instance-cli的命令時出現DeliveryTimeout提示，可能是雲助手Agent不線上，檢查雲助手狀態，請參見檢查執行個體雲助手Agent是否已安裝。

    image

    image

    執行命令報錯session manager is disabled, please enable first

    如果執行ali-instance-cli的命令出現session manager is disabled, please enable first報錯，代表會話管理功能未開啟，請通過控制台開啟會話管理功能，具體操作，請參見開啟會話管理服務。

    長時間未串連自動斷開

    使用會話管理串連到目標執行個體後，如果長時間沒有任何操作串連會自動斷開。預設的串連空閑時間為3分鐘，您可以通過--idle-timeout參數自訂最大空閑時間。

    例如執行以下命令串連到目標執行個體後，串連空閑達到10分鐘就會自動斷開。 

    ./ali-instance-cli session --instance instance-id --idle-timeout 600
    說明

    此功能需確保ali-instance-cli不低於以下版本：

    • Linux：1.2.0.48

    • Windows：1.1.0.48

    • macOS：1.3.0.48

    如何分析ali-instance-cli的日誌

    當使用會話管理CLI出現問題時，您可以通過查看log分析具體問題。

    • 查看會話管理CLI工具的日誌：在使用會話管理CLI（ali-instance-cli）時，會在該工具所在目錄下產生log目錄，如~/log/aliyun_ecs_session_log.2022XXXX，您可以進入該目錄查看相關日誌。

    • 查看雲助手Agent日誌：

      • Linux

        /usr/local/share/aliyun-assist/雲助手版本號碼/log/

      • Windows

        C:\ProgramData\aliyun\assist\雲助手版本號碼\log