AWS Session Manager要求允许入站流量，但不应允许

Question

我有一个使用以下网络设置运行的EC2实例：

• 它驻留在连接了Internet网关的公共子网中
• 它具有一个附加了出站规则的安全组，以允许所有流量（所有端口位于0.0.0.0/0上）

根据文档，应该可以使用AWS Session Manager连接到实例：

  

为使托管实例和Systems Manager服务彼此通信，必须执行以下操作之一：
  -配置Systems Manager以使用接口虚拟私有云（VPC）
   端点
  -在托管实例上启用出站Internet访问

     

注意
  不需要启用入站互联网访问。

（来源：https://docs.aws.amazon.com/systems-manager/latest/userguide/systems-manager-prereqs.html）

但是当我尝试与会话管理器连接时，连接未初始化（显示黑屏，但它保持空白）。

如果我在安全组中启用了所有入站流量（通过在0.0.0.0/0的所有端口上添加入站规则），则Session Manager可以正常工作。但这不是必需的，出于安全原因，我当然要避免使用它。

那么设置有什么问题吗？

Answer 1

据我了解，您未配置VPC Endpoint。 VPC Endpoint是一个界面，使您可以通过专用AWS网络（而不是通过互联网）使用AWS服务。因此，您无需启用入站规则，AWS System Manager通过VPC端点连接到您的EC2（这是安全的，建议使用一种连接方式）。但是，当您在“安全组”中允许入站规则时，它会通过Internet连接到您的实例，因此并不安全。 因此，请使用VPC端点接口。使用起来并不难，您可以参考VPC Endpoint AWS System Manager Documentation