Connessione a un'istanza Windows Server gestita tramite Remote Desktop - AWS Systems Manager
Configurazione dell'ambienteConfigurazione delle autorizzazioni IAM per Desktop remotoAutenticazione delle connessioni Desktop remotoDurata e simultaneità della connessione remotaConnessione a un nodo gestito tramite Desktop remoto

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connessione a un'istanza Windows Server gestita tramite Remote Desktop

Puoi utilizzareFleet Manager, una funzionalità di AWS Systems Manager, per connetterti alle tue istanze Windows Server Amazon Elastic Compute Cloud (Amazon EC2) utilizzando (RDP). Remote Desktop Protocol Fleet Manager Desktop remoto, basato su NICE DCV, offre una connettività sicura alle istanze Windows Server direttamente dalla console di Systems Manager. È possibile avere fino a quattro connessioni simultanee in un'unica finestra del browser.

Attualmente, è possibile utilizzare Desktop remoto solo con istanze che eseguono Windows Server 2012 RTM o versioni successive. Desktop remoto supporta solo input in lingua inglese.

Nota

Fleet ManagerRemote Desktop è un servizio solo per console e non supporta connessioni da riga di comando alle istanze gestite. Per connetterti a un'istanza Windows Server gestita tramite una shell, puoi utilizzare Session Manager un'altra funzionalità di. AWS Systems Manager Per ulteriori informazioni, consulta AWS Systems Manager Session Manager.

Per informazioni sulla configurazione delle autorizzazioni AWS Identity and Access Management (IAM) per consentire alle istanze di interagire con Systems Manager, consulta Configurare le autorizzazioni delle istanze per Systems Manager.

Configurazione dell'ambiente

Prima di utilizzare Desktop remoto, verifica che il tuo ambiente soddisfi i requisiti seguenti:

  • Configurazione di nodi gestiti

    Assicurati che le istanze Amazon EC2 siano configurate come nodi gestiti in Systems Manager.

  • Versione minima di SSM Agent

    Verifica che i nodi eseguano SSM Agent versione 3.0.222.0 o successiva. Per informazioni su come verificare la versione dell'agente in esecuzione su un nodo, consulta Verifica del numero di versione di SSM Agent. Per informazioni sull'installazione o l'aggiornamento di SSM Agent, consulta Utilizzo di SSM Agent.

  • Configurazione della porta RDP

    Per accettare connessioni remote, il servizio Remote Desktop Services sui nodi Windows Server deve utilizzare la porta RDP 3389 predefinita. Questa è la configurazione predefinita di Amazon Machine Images () AMIs fornita da. AWS Non è richiesto esplicitamente di aprire alcuna porta in entrata per utilizzare Desktop remoto.

  • Versione del modulo PSReadLine per la funzionalità della tastiera

    Per assicurarti che la tastiera funzioni correttamente in PowerShell, verifica che sui nodi che eseguono Windows Server 2022 sia installato il modulo PSReadLine versione 2.2.2 o successiva. Se i nodi utilizzano una versione precedente, è possibile installare la versione richiesta utilizzando il seguente comando.

    Install-Module `
    -Name PSReadLine `
    -Repository PSGallery `-MinimumVersion 2.2.2

  • Configurazione di Session Manager

    Prima di utilizzare Desktop remoto, è necessario completare i prerequisiti per l'installazione di Session Manager. Quando ti connetti a un'istanza utilizzando Remote Desktop, Regione AWS vengono applicate tutte le preferenze di sessione definite per il tuo Account AWS e. Per ulteriori informazioni, consulta Configurazione di Session Manager.

    Nota

    Se registri l'attività di Session Manager utilizzando Amazon Simple Storage Service (Amazon S3), le connessioni Desktop remoto genereranno l'errore seguente in bucket_name/Port/stderr. Questo errore è previsto e può essere ignorato.

    Setting up data channel with id SESSION_ID failed: failed to create websocket for datachannel with error: CreateDataChannel failed with no output or error: createDataChannel request failed: unexpected response from the service <BadRequest>
<ClientErrorMessage>Session is already terminated</ClientErrorMessage>
</BadRequest>

Configurazione delle autorizzazioni IAM per Desktop remoto

Oltre alle autorizzazioni IAM richieste per Systems Manager e Session Manager, l'utente o il ruolo utilizzato per accedere alla console deve consentire le seguenti azioni:

  • ssm-guiconnect:CancelConnection

  • ssm-guiconnect:GetConnection

  • ssm-guiconnect:StartConnection

Di seguito sono riportati alcuni esempi di policy IAM che è possibile collegare a un utente o a un ruolo per consentire diversi tipi di interazione con Desktop remoto. Sostituisci ciascun segnaposto delle risorse di esempio con le tue informazioni.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EC2",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:GetPasswordData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SSM",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceProperties",
                "ssm:GetCommandInvocation",
                "ssm:GetInventorySchema"
            ],
            "Resource": "*"
        },
        {
            "Sid": "TerminateSession",
            "Effect": "Allow",
            "Action": [
                "ssm:TerminateSession"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:ssmmessages:session-id": [
                        "${aws:userid}"
                    ]
                }
            }
        },
        {
            "Sid": "SSMStartSession",
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:*:account-id:instance/*",
                "arn:aws:ssm:*:account-id:managed-instance/*",
                "arn:aws:ssm:*::document/AWS-StartPortForwardingSession"
            ],
            "Condition": {
                "BoolIfExists": {
                    "ssm:SessionDocumentAccessCheck": "true"
                },
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": "ssm-guiconnect.amazonaws.com"
                }
            }
        },
        {
            "Sid": "GuiConnect",
            "Effect": "Allow",
            "Action": [
                "ssm-guiconnect:CancelConnection",
                "ssm-guiconnect:GetConnection",
                "ssm-guiconnect:StartConnection"
            ],
            "Resource": "*"
        }
    ]
}
Nota

Nella seguente policy IAM, la SSMStartSession sezione richiede un Amazon Resource Name (ARN) per l'azionessm:StartSession. Come mostrato, l'ARN specificato non richiede un Account AWS ID. Se si specifica un ID account, Fleet Manager restituisce unAccessDeniedException.

La AccessTaggedInstances sezione, che si trova nella parte inferiore della politica di esempio, richiede anche ARN perssm:StartSession. Per questi ARN, è necessario specificare Account AWS gli ID.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EC2",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:GetPasswordData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SSM",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceProperties",
                "ssm:GetCommandInvocation",
                "ssm:GetInventorySchema"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SSMStartSession",
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*::document/AWS-StartPortForwardingSession"
            ],
            "Condition": {
                "BoolIfExists": {
                    "ssm:SessionDocumentAccessCheck": "true"
                },
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": "ssm-guiconnect.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AccessTaggedInstances",
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:*:account-id:instance/*",
                "arn:aws:ssm:*:account-id:managed-instance/*"
            ],
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/tag key": [
                        "tag value"
                    ]
                }
            }
        },
        {
            "Sid": "GuiConnect",
            "Effect": "Allow",
            "Action": [
                "ssm-guiconnect:CancelConnection",
                "ssm-guiconnect:GetConnection",
                "ssm-guiconnect:StartConnection"
            ],
            "Resource": "*"
        }
    ]
}
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SSO",
            "Effect": "Allow",
            "Action": [
                "sso:ListDirectoryAssociations*",
                "identitystore:DescribeUser"
            ],
            "Resource": "*"
        },
        {
            "Sid": "EC2",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:GetPasswordData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SSM",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceProperties",
                "ssm:GetCommandInvocation",
                "ssm:GetInventorySchema"
            ],
            "Resource": "*"
        },
        {
            "Sid": "TerminateSession",
            "Effect": "Allow",
            "Action": [
                "ssm:TerminateSession"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:ssmmessages:session-id": [
                        "${aws:userName}"
                    ]
                }
            }
        },
        {
            "Sid": "SSMStartSession",
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ssm:*:*:managed-instance/*",
                "arn:aws:ssm:*:*:document/AWS-StartPortForwardingSession"
            ],
            "Condition": {
                "BoolIfExists": {
                    "ssm:SessionDocumentAccessCheck": "true"
                },
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": "ssm-guiconnect.amazonaws.com"
                }
            }
        },
        {
            "Sid": "SSMSendCommand",
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ssm:*:*:managed-instance/*",
                "arn:aws:ssm:*:*:document/AWSSSO-CreateSSOUser"
            ],
            "Condition": {
                "BoolIfExists": {
                    "ssm:SessionDocumentAccessCheck": "true"
                }
            }
        },
        {
            "Sid": "GuiConnect",
            "Effect": "Allow",
            "Action": [
                "ssm-guiconnect:CancelConnection",
                "ssm-guiconnect:GetConnection",
                "ssm-guiconnect:StartConnection"
            ],
            "Resource": "*"
        }
    ]
}

Autenticazione delle connessioni Desktop remoto

Quando stabilisci una connessione remota, puoi autenticarti utilizzando le credenziali Windows o la coppia di chiavi Amazon EC2 (file .pem) associata all'istanza. Per informazioni sull'uso delle coppie di chiavi, consulta le coppie di chiavi e le Windows istanze di Amazon EC2 nella Guida per l'utente di Amazon EC2.

In alternativa, se sei autenticato all' AWS Management Console utilizzo AWS IAM Identity Center, puoi connetterti alle tue istanze senza fornire credenziali aggiuntive. Per un esempio di policy per consentire l'autenticazione della connessione remota utilizzando Centro identità IAM, consulta Configurazione delle autorizzazioni IAM per Desktop remoto.

Prima di iniziare

Osserva le seguenti condizioni per l'uso dell'autenticazione di Centro identità IAM prima di avviare la connessione utilizzando Desktop remoto.

  • Desktop remoto supporta l'autenticazione di Centro identità IAM per i nodi nella stessa Regione AWS in cui hai abilitato Centro identità IAM.

  • Desktop remoto supporta nomi utente di IAM Identity Center composti da un massimo di 16 caratteri.

  • Desktop remoto supporta nomi utente di IAM Identity Center composti da caratteri alfanumerici e dai seguenti caratteri speciali: . - _

    Importante

    Le connessioni non avranno esito positivo per i nomi utente di IAM Identity Center che contengono i seguenti caratteri: + = , @.

    IAM Identity Center supporta questi caratteri nei nomi utente, a differenza delle connessioni Fleet Manager RDP.

  • Quando una connessione viene autenticata utilizzando IAM Identity Center, Remote Desktop crea un utente Windows locale nel gruppo Local Administrators dell'istanza. Questo utente persiste dopo la fine della connessione remota.

  • Desktop remoto non consente l'autenticazione IAM Identity Center per i nodi che sono controller del dominio Microsoft Active Directory.

  • Sebbene Desktop remoto consenta di utilizzare l'autenticazione IAM Identity Center per i nodi uniti a un dominio Active Directory, non è consigliabile farlo. Questo metodo di autenticazione concede autorizzazioni amministrative agli utenti che potrebbero sovrascrivere le autorizzazioni più restrittive concesse dal dominio.

Regioni supportate per l'autenticazione di Centro identità IAM

Connessioni Remote Desktop che utilizzano l'autenticazione di Centro identità IAM sono supportate nelle Regioni AWS seguenti:

  • Stati Uniti orientali (Ohio) (us-east-2)

  • Stati Uniti orientali (Virginia settentrionale) (us-east-1)

  • Stati Uniti occidentali (California settentrionale) (us-west-1)

  • Stati Uniti occidentali (Oregon) (us-west-2)

  • Africa (Città del Capo) (af-south-1)

  • Asia Pacifico (Hong Kong) (ap-east-1)

  • Asia Pacifico (Mumbai) (ap-south-1)

  • Asia Pacifico (Tokyo) (ap-northeast-1)

  • Asia Pacifico (Seoul) (ap-northeast-2)

  • Asia Pacifico (Osaka-Locale) (ap-northeast-3)

  • Asia Pacifico (Singapore) (ap-southeast-1)

  • Asia Pacifico (Sydney) (ap-southeast-2)

  • Asia Pacific (Giacarta) (ap-southeast-3)

  • Canada (Centrale) (ca-central-1)

  • Europa (Francoforte) (eu-central-1)

  • Europa (Stoccolma) (eu-north-1)

  • Europa (Irlanda) (eu-west-1)

  • Europa (Londra) (eu-west-2)

  • Europe (Parigi) (eu-west-3)

  • Israele (Tel Aviv) (il-central-1)

  • Sud America (San Paolo) (sa-east-1)

  • Europa (Milano) (eu-south-1)

  • Medio Oriente (Bahrein) (me-south-1)

  • AWS GovCloud (Stati Uniti orientali) (us-gov-east-1)

  • AWS GovCloud (Stati Uniti occidentali) (us-gov-west-1)

Durata e simultaneità della connessione remota

Le seguenti condizioni si applicano alle connessioni Desktop remoto attive:

  • Durata della connessione

    Per impostazione predefinita, una connessione Desktop remoto viene interrotta dopo 60 minuti. Per evitare che una connessione venga interrotta, puoi scegliere Rinnova sessione prima di disconnetterti per reimpostare il timer di durata.

  • Timeout di connessione

    Una connessione Desktop remoto si interrompe dopo essere rimasta inattiva per più di 10 minuti.

  • Connessioni simultanee

    Per impostazione predefinita, puoi avere un massimo di 5 connessioni Desktop remoto attive contemporaneamente per lo stesso e. Account AWS Regione AWS Per richiedere un aumento di quote di servizio fino a 25 connessioni simultanee, consulta Richiesta di aumento delle quote nella Guida per l'utente di Service Quotas.

Connessione a un nodo gestito tramite Desktop remoto

Supporto per il copia/incolla del testo nel browser

Utilizzando i browser Google Chrome e Microsoft Edge, puoi copiare e incollare testo da un nodo gestito al tuo computer locale e dal tuo computer locale a un nodo gestito a cui sei connesso.

Utilizzando il browser Mozilla Firefox, puoi copiare e incollare il testo da un nodo gestito solo sul tuo computer locale. La copia dal computer locale al nodo gestito non è supportata.

Per connetterti a un nodo gestito tramite Desktop remoto di Fleet Manager

  1. Apri la AWS Systems Manager console all'indirizzo https://console.aws.amazon.com/systems-manager/.

  2. Nel riquadro di navigazione, scegli Fleet Manager.

  3. Scegli il nodo a cui desideri connetterti. Puoi selezionare la casella di controllo o il nome del nodo.

  4. Nel menu Azioni di nodi, scegli Connessione con Desktop remoto.

  5. Scegli il tuo Tipo di autenticazione preferito. Se scegli Credenziali utente, inserisci il nome utente e la password per un account utente Windows sul nodo a cui stai eseguendo la connessione. Se scegli Coppia di chiavi, puoi fornire l'autenticazione utilizzando uno dei seguenti metodi:

    1. Scegli Sfoglia la macchina locale se desideri selezionare la chiave PEM associata all'istanza dal file system locale.

      oppure

    2. Scegli Incolla contenuto della coppia di chiavi se desideri copiare il contenuto del file PEM e incollarlo nel campo fornito.

  6. Seleziona Connetti.

  7. Per scegliere la risoluzione dello schermo preferita, nel menu Azioni, scegli Risoluzioni, quindi seleziona una delle seguenti opzioni:

    • Adatta automaticamente

    • 1920 x 1080

    • 1400 x 900

    • 1366 x 768

    • 800 x 600

    L'opzione Adatta automaticamente imposta la risoluzione in base alle dimensioni dello schermo rilevate.