Configurer l'SSM Agent pour utiliser un proxy pour les instances Windows Server

Les informations contenues dans cette rubrique concernent les instances Windows Server créées au plus tôt en novembre 2016 qui n'utilisent pas l'option d'installation Nano. Si vous avez l'intention de l'utiliserSession Manager, notez que les serveurs proxy HTTPS ne sont pas pris en charge.

Note

Depuis le 14 janvier 2020, Windows Server 2008 n'est plus pris en charge pour les mises à jour de fonctions ou de sécurité de Microsoft. Les Amazon Machine Images (AMIs) héritées, pour Windows Server 2008 et 2008 R2, incluent toujours la version 2 de l'SSM Agent, mais Systems Manager ne prend plus officiellement en charge les versions 2008 et ne met plus à jour l'agent pour ces versions de Windows Server. En outre, SSM Agent version 3 peut ne pas être compatible avec toutes les opérations sur Windows Server 2008 et 2008 R2. La version finale officiellement prise en charge de l'SSM Agent pour les versions Windows Server 2008 est 2.3.1644.0.

Avant de commencer

Avant de configurer SSM Agent pour utiliser un proxy, prenez note des informations importantes suivantes.

Dans la procédure suivante, vous exécutez une commande pour configurer SSM Agent l'utilisation d'un proxy. La commande inclut un no_proxy paramètre avec une adresse IP. L'adresse IP est le point de terminaison des services de métadonnées d'instance (IMDS) pour Systems Manager. Si vous ne le spécifiez pasno_proxy, les appels à Systems Manager prennent l'identité du service proxy (si la solution de secours IMDSv1 est activée) ou les appels à Systems Manager échouent (si IMDSv2 est appliqué).

• Pour IPv4, spécifiezno_proxy=169.254.169.254.

• Pour IPv6, spécifiezno_proxy=[fd00:ec2::254]. L'adresse IPv6 du service de métadonnées d'instance est compatible avec les commandes IMDSv2. L'adresse IPv6 n'est accessible que sur les instances créées sur le système AWS Nitro. Pour plus d'informations, consultez Comment fonctionne le service de métadonnées d'instance version 2 dans le guide de l'utilisateur Amazon EC2.

Pour configurer l'SSM Agent afin d'utiliser un proxy

1. À l'aide de Remote Desktop ou de Windows PowerShell, connectez-vous à l'instance que vous souhaitez configurer pour utiliser un proxy.

2. Exécutez le bloc de commande suivant dans PowerShell. Remplacez hostname et port par les informations relatives à votre proxy.

   $serviceKey = "HKLM:\SYSTEM\CurrentControlSet\Services\AmazonSSMAgent"
   $keyInfo = (Get-Item -Path $serviceKey).GetValue("Environment")
   $proxyVariables = @("http_proxy=hostname:port", "https_proxy=hostname:port", "no_proxy=IP address for instance metadata services (IMDS)")
   
   if ($keyInfo -eq $null) {
       New-ItemProperty -Path $serviceKey -Name Environment -Value $proxyVariables -PropertyType MultiString -Force
   } 
   else {
       Set-ItemProperty -Path $serviceKey -Name Environment -Value $proxyVariables
   }
   
   Restart-Service AmazonSSMAgent

Après avoir exécuté la commande précédente, vous pouvez consulter les journaux SSM Agent pour confirmer que les paramètres proxy ont été appliqués. Les entrées dans les journaux ressemblent à ce qui suit. Pour de plus amples informations sur les journaux SSM Agent, consultez Affichage des journaux SSM Agent.

2020-02-24 15:31:54 INFO Getting IE proxy configuration for current user: The operation completed successfully.
2020-02-24 15:31:54 INFO Getting WinHTTP proxy default configuration: The operation completed successfully.
2020-02-24 15:31:54 INFO Proxy environment variables:
2020-02-24 15:31:54 INFO http_proxy: hostname:port
2020-02-24 15:31:54 INFO https_proxy: hostname:port
2020-02-24 15:31:54 INFO no_proxy: IP address for instance metadata services (IMDS)
2020-02-24 15:31:54 INFO Starting Agent: amazon-ssm-agent - v2.3.871.0
2020-02-24 15:31:54 INFO OS: windows, Arch: amd64

Pour réinitialiser la configuration du proxy de l'SSM Agent

1. À l'aide de Remote Desktop ou de Windows PowerShell, connectez-vous à l'instance à configurer.

2. Si vous vous êtes connecté via Remote Desktop, PowerShell lancez-le en tant qu'administrateur.

3. Exécutez le bloc de commande suivant dans PowerShell.

   Remove-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\AmazonSSMAgent -Name Environment
   Restart-Service AmazonSSMAgent

Priorité du paramètre proxy SSM Agent

Lors de la configuration des paramètres proxy pour l'SSM Agent sur les instances Windows Server, il est important de comprendre que ces paramètres sont évalués et appliqués à la configuration de l'agent lors du démarrage de l'SSM Agent. La façon dont vous configurez vos paramètres de proxy pour une instance Windows Server peut déterminer si d'autres paramètres peuvent remplacer vos paramètres souhaités.

Important

SSM Agent communique à l'aide du protocole HTTPS. Pour cette raison, vous devez configurer le paramètre HTTPS proxy en utilisant l'une des options de paramétrage suivantes.

Les paramètres du proxy SSM Agent sont évalués dans l'ordre suivant.

1. Paramètres du Registre AmazonSSMAgent (HKLM:\SYSTEM\CurrentControlSet\Services\AmazonSSMAgent)

2. Variables d'environnement du système (http_proxy, https_proxy, no_proxy)

3. LocalSystem variables d'environnement du compte utilisateur http_proxyhttps_proxy,no_proxy)

4. Paramètres d'Internet Explorer (HTTP, secure, exceptions)

5. Paramètres de proxy WinHTTP (http=, https=, bypass-list=)

Paramètres de proxy de l'SSM Agent et services Systems Manager

Si vous avez configuré le SSM Agent pour utiliser un proxy et que vous utilisez AWS Systems Manager des fonctionnalités telles que Run Command etPatch Manager, qui utilisent PowerShell le client Windows Update lors de leur exécution sur des Windows Server instances, configurez des paramètres de proxy supplémentaires. Sinon, l'opération risque d'échouer car les paramètres de proxy utilisés par le client Windows Update PowerShell et le client Windows Update ne sont pas hérités de la configuration du SSM Agent proxy.

Pour Run Command, configurez les paramètres de proxy de WinINet sur vos instances Windows Server. Les commandes [System.Net.WebRequest] fournies sont spécifiques à une session. Pour appliquer ces configurations aux commandes réseau suivantes exécutées dansRun Command, ces commandes doivent précéder les autres PowerShell commandes dans la même entrée du aws:runPowershellScript plugin.

Les PowerShell commandes suivantes renvoient les paramètres de WinINet proxy actuels et appliquent vos paramètres de proxy àWinINet.

[System.Net.WebRequest]::DefaultWebProxy

$proxyServer = "http://hostname:port"
$proxyBypass = "169.254.169.254"
$WebProxy = New-Object System.Net.WebProxy($proxyServer,$true,$proxyBypass)

[System.Net.WebRequest]::DefaultWebProxy = $WebProxy

Pour Patch Manager, vous devez configurer les paramètres de proxy à l'échelle du système, afin que le client Windows Update puisse rechercher et télécharger des mises à jour. Nous vous recommandons d'utiliser Run Command pour exécuter les commandes suivantes, car elles s'exécutent sur le compte SYSTEM et les paramètres s'appliquent à l'ensemble du système. Les commandes netsh suivantes renvoient les paramètres de proxy actuels et appliquent vos paramètres proxy au système local.

netsh winhttp show proxy

netsh winhttp set proxy proxy-server="hostname:port" bypass-list="169.254.169.254"

Pour plus d'informations sur l'utilisation de Run Command, consultez AWS Systems Manager Run Command.