通過Workbench串連執行個體

什麼是Workbench？

Workbench基本使用流程

使用Workbench串連執行個體的流程如圖所示。

1. 找到待串連的執行個體。

2. 打通Workbench與ECS執行個體之間的網路連接。

   這一步需要設定執行個體所在的安全性群組與執行個體內防火牆，需允許存取來自Workbench的入方向流量。

3. 使用Workbench串連執行個體。

   在控制台選擇通過Workbench串連執行個體，輸入使用者名稱、密碼、金鑰組等資訊。

4. 開通服務關聯角色。

   如果您在使用Workbench串連執行個體時沒有建立服務關聯角色，系統會提示您授予Workbench訪問ECS執行個體的許可權，即開通服務關聯角色。

5. 成功串連到執行個體，執行營運操作。

Workbench的服務關聯角色

由於Workbench需要操作您的ECS執行個體，因此，在首次使用Workbench串連執行個體時，會提示您建立服務關聯角色AliyunServiceRoleForECSWorkbench，Workbench服務會以該角色的身份訪問您的ECS執行個體。更多服務關聯角色的說明，請參見服務關聯角色。

如圖所示，在首次串連執行個體時會出現以下對話方塊，單擊確定系統會自動為您建立該服務關聯角色。

如果您是RAM使用者，您需要聯絡主帳號或管理員為您授予AliyunECSWorkbenchFullAccess系統權限原則，擁有該許可權的使用者才可以建立Workbench的服務關聯角色。

RAM使用者使用Workbench的使用權限設定

在開通服務關聯角色後，RAM使用者使用Workbench需設定如下權限原則，該策略代表使用者可以使用Workbench串連所有ECS執行個體。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

如果需要限制使用者可以通過Workbench串連的執行個體，可通過修改Resource欄位實現，格式如下：

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": [
        "acs:ecs-workbench:{#regionId}:{#accountId}:workbench/{#instanceId}",
        "acs:ecs-workbench:{#regionId}:{#accountId}:workbench/{#instanceId}"
      ],
      "Effect": "Allow"
    }
  ]
}

參數說明如下：

• {#regionId}：執行個體所在地區ID，可設定為萬用字元*。

• {#accountId}：主帳號ID，可設定為萬用字元*。

• {#instanceId}：目標執行個體ID，可設定為萬用字元*。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": [
        "acs:ecs-workbench:*:*:workbench/i-001",
        "acs:ecs-workbench:*:*:workbench/i-002"
      ],
      "Effect": "Allow"
    }
  ]
}

Workbench相關安全性群組設定

由於使用Workbench通過SSH或RDP方式串連執行個體時，您需要在執行個體所在安全性群組放通來自Workbench服務端的入網流量，您可以根據您網路類型的不同，參考下表添加安全性群組規則。具體操作，請參見添加安全性群組規則。