• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione [ di ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html) Amazon CloudWatch Dashboard.
Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Migliora la sicurezza delle istanze EC2 utilizzando gli endpoint VPC per Systems Manager
Puoi migliorare il livello di sicurezza dei tuoi nodi gestiti (comprese le macchine non EC2 in un [ ambiente ](operating-systems-and-machine-types.md#supported-machine-types) ibrido e multicloud) AWS Systems Manager configurando l'uso di un endpoint VPC di interfaccia in Amazon Virtual Private Cloud (Amazon VPC). Utilizzando un endpoint VPC di interfaccia (endpoint di interfaccia), puoi connetterti ai servizi forniti da. AWS PrivateLink AWS PrivateLink è una tecnologia che consente di accedere privatamente alle API Amazon Elastic Compute Cloud (Amazon EC2) e Systems Manager utilizzando indirizzi IP privati.
AWS PrivateLink limita tutto il traffico di rete tra le istanze gestite, Systems Manager e Amazon EC2 alla rete Amazon. Ciò vuol dire che le istanze gestite non hanno accesso a Internet. Se lo usi AWS PrivateLink, non hai bisogno di un gateway Internet, di un dispositivo NAT o di un gateway privato virtuale.
La configurazione non è obbligatoria AWS PrivateLink, ma è consigliata. Per ulteriori informazioni sugli AWS PrivateLink endpoint VPC, consulta [AWS PrivateLink and VPC endpoint. ](https://docs.aws.amazon.com/vpc/latest/userguide/endpoint-services-overview.html)
**Nota**
L'alternativa all'utilizzo di un endpoint VPC è l'abilitazione dell'accesso a Internet in uscita sulle istanze gestite. In questo caso, le istanze gestite devono consentire anche il traffico in uscita HTTPS (porta 443) verso i seguenti endpoint:
`ssm.{{region}}.amazonaws.com`
`ssmmessages.{{region}}.amazonaws.com`
`ec2messages.{{region}}.amazonaws.com`
SSM Agent avvia tutte le connessioni al servizio Systems Manager nel cloud. Per questo motivo, non è necessario configurare il firewall per consentire il traffico in ingresso verso le istanze di Systems Manager.
Per ulteriori informazioni sulle chiamate a questi endpoint, consulta [Referenza: ec2messages, ssmmessages e altre operazioni API](systems-manager-setting-up-messageAPIs.md).
Se si utilizza Systems Manager in un ambiente che supporta * solo * IPv6, è necessario consentire anche il traffico in uscita verso i seguenti endpoint:
`ssm.region.api.aws`
`ssmmessages.region.api.aws`
`ec2messages.region.api.aws`
Per ulteriori informazioni sugli endpoint di servizio dual-stack, vedere gli endpoint [ dual stack nella General Reference Guide. ](https://docs.aws.amazon.com/general/latest/gr/rande.html#dual-stack-endpoints) *AWS *
Devi inoltre assicurarti che i bucket per le operazioni di patch siano raggiungibili dai tuoi nodi, come descritto in [ Reference: buckets Amazon S3 for patching operations. ](https://docs.aws.amazon.com/systems-manager/latest/userguide/patch-operations-s3-buckets.html)
**Informazioni su Amazon VPC**
Puoi utilizzare Amazon Virtual Private Cloud (Amazon VPC) per definire una rete virtuale nella tua area logicamente isolata all'interno di Cloud AWS, nota come cloud privato virtuale (VPC). * * È possibile avviare le risorse AWS , ad esempio le istanze, nel VPC. Il VPC è molto simile a una rete tradizionale gestibile nel data center locale, ma con i vantaggi legati all'utilizzo dell'infrastruttura scalabile di AWS. È·possibile configurare il VPC, selezionare l'intervallo di indirizzi IP, creare sottoreti e configurare tabelle di routing, gateway di rete e impostazioni di sicurezza. È possibile connettere le istanze nel VPC a Internet. Puoi connettere il tuo VPC al tuo data center aziendale, rendendolo Cloud AWS un'estensione del tuo data center. Per proteggere le risorse in ciascuna sottorete, è possibile usare diversi livelli di sicurezza, compresi gruppi di sicurezza e liste di controllo accessi alla rete. Per ulteriori informazioni, consulta la [Guida utente Amazon VPC](https://docs.aws.amazon.com/vpc/latest/userguide/).
**Topics**
+ [Restrizioni e limitazioni degli endpoint VPC](#vpc-requirements-and-limitations)
+ [Creazione degli endpoint VPC per Systems Manager](#create-vpc-endpoints)
+ [Creazione di una policy degli endpoint VPC d'interfaccia](#create-vpc-interface-endpoint-policies)
+ [Considerazioni sulle politiche degli endpoint VPC per i nodi ibridi](#vpc-endpoint-policies-hybrid-nodes)
## Restrizioni e limitazioni degli endpoint VPC
Prima di configurare gli endpoint VPC di Systems Manager, occorre considerare le seguenti limitazioni e restrizioni.
**Connessioni peering di VPC**
Gli endpoint di interfaccia del VPC sono accessibili tramite connessioni peering VPC *all'interno di una regione* e *tra regioni*. Per ulteriori informazioni sulle richieste di connessione con peering VPC per gli endpoint dell'interfaccia VPC, consulta [Connessioni peering VPC (quote)](https://docs.aws.amazon.com/vpc/latest/userguide/amazon-vpc-limits.html#vpc-limits-peering) nella *Guida per l'utente di Amazon Virtual Private Cloud*.
Le connessioni endpoint del gateway VPC non possono essere estese all'esterno di un VPC. Le risorse sul lato opposto di una connessione peering VPC nel VPC non possono utilizzare l'endpoint del gateway per comunicare con le risorse del servizio endpoint gateway. Per ulteriori informazioni sulle richieste di connessione peering VPC per gli endpoint del gateway VPC, consulta [Connessioni peering VPC (quote)](https://docs.aws.amazon.com/vpc/latest/userguide/amazon-vpc-limits.html#vpc-limits-endpoints) nella *Guida per l'utente di Amazon Virtual Private Cloud*.
**Connessioni in entrata**
Il gruppo di sicurezza collegato all'endpoint VPC deve consentire le connessioni in entrata sulla porta 443 dalla sottorete privata dell'istanza gestita. Se le connessioni in entrata non sono consentite, l'istanza gestita non è in grado di connettersi agli endpoint SSM ed EC2.
**Risoluzione DNS**
Se utilizzi un server DNS personalizzato, devi aggiungere un server d'inoltro condizionale per eventuali query al dominio `amazonaws.com` al server Amazon DNS per il tuo VPC.
**Bucket S3**
È necessario che la policy dell'endpoint VPC consenta l'accesso almeno ai bucket Amazon S3 elencati su [Agente SSM comunicazioni con AWS bucket S3 gestiti](ssm-agent-technical-details.md#ssm-agent-minimum-s3-permissions).
**Nota**
Se si usa un firewall on-premises e si intende utilizzare Patch Manager, il firewall deve consentire anche l'accesso all'endpoint della baseline delle patch appropriato.
**Amazon Logs CloudWatch**
Se non consenti alle tue istanze di accedere a Internet, crea un endpoint VPC per consentire a Logs di utilizzare le funzionalità che inviano CloudWatch i log a Logs. CloudWatch Per ulteriori informazioni sulla creazione di un endpoint per CloudWatch i log, consulta [ Creating a VPC endpoint for CloudWatch Logs ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/cloudwatch-logs-and-interface-VPC.html#create-VPC-endpoint-for-CloudWatchLogs) nella Amazon Logs User Guide. * CloudWatch *
**DNS in ambiente ibrido e multicloud**
Per informazioni sulla configurazione del DNS per funzionare con gli AWS PrivateLink endpoint in [ ambienti ](operating-systems-and-machine-types.md#supported-machine-types) ibridi e multicloud, consulta [ Private DNS for interface endpoint nella Amazon VPC User Guide. ](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#vpce-private-dns) * * Se si desidera utilizzare il proprio DNS, è possibile utilizzare il Resolver Route 53. Per ulteriori informazioni, consulta [Risoluzione delle query DNS tra i VPC e la propria rete](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resolver.html) nella *Guida per gli sviluppatori di Amazon Route 53*.
## Creazione degli endpoint VPC per Systems Manager
Utilizza le seguenti informazioni per creare endpoint di interfaccia VPC per. AWS Systems Manager Questo argomento si collega alle procedure descritte nella *Guida utente Amazon VPC*.
**Nota**
{{region}}rappresenta l'identificatore di una regione Regione AWS supportata da AWS Systems Manager, ad esempio `us-east-2` per la regione Stati Uniti orientali (Ohio). Per un elenco dei {{region}} valori supportati, vedere la ** colonna ** Regione negli endpoint [ del servizio ](https://docs.aws.amazon.com/general/latest/gr/ssm.html#ssm_region) Systems Manager in. *Riferimenti generali di Amazon Web Services*
Seguire la procedura in [Creazione di un endpoint di interfaccia](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#create-interface-endpoint) per creare i seguenti endpoint di interfaccia:
+ **`com.amazonaws.{{region}}.ssm`**: l'endpoint per il servizio Systems Manager.
+ **`com.amazonaws.{{region}}.ec2messages`**: Systems Manager utilizza questo endpoint per effettuare chiamate da SSM Agent al servizio Systems Manager. A partire dalla versione 3.3.40.0 dell'SSM Agent, Systems Manager ha iniziato a utilizzare endpoint `ssmmessages:*` (Amazon Message Gateway Service) ogni volta che era disponibile, al posto dell'endpoint `ec2messages:*` (Amazon Message Delivery Service).
+ **`com.amazonaws.{{region}}.ec2`**— Se utilizzi Systems Manager per creare VSS-enabled istantanee, devi assicurarti di avere un endpoint per il servizio EC2. Se non è definito l'endpoint EC2, la chiamata per enumerare i volumi Amazon EBS collegati ha esito negativo e causa un errore del comando di Systems Manager.
+ **`com.amazonaws.{{region}}.s3`**: Systems Manager utilizza questo endpoint per l'aggiornamento dell'SSM Agent. Systems Manager utilizza questo endpoint anche quando, facoltativamente, si sceglie di recuperare script o altri file archiviati in bucket o caricare log di output nel bucket. Se il gruppo di sicurezza associato alle istanze in uso limita il traffico in uscita, occorre aggiungere una regola per consentire al traffico di utilizzare l'elenco di prefissi per Amazon S3. Per ulteriori informazioni, consulta [Modifica del gruppo di sicurezza](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-gateway.html#vpc-endpoints-security) nella *Guida di AWS PrivateLink *.
+ **`com.amazonaws.{{region}}.ssmmessages`**: questo endpoint è necessario per far sì che l'SSM Agent comunichi con il servizio Systems Manager, per Run Command, e se ci si connette alle istanze tramite un canale dati sicuro utilizzando Session Manager. Per ulteriori informazioni, consulta [AWS Systems Manager Session Manager](session-manager.md) e [Referenza: ec2messages, ssmmessages e altre operazioni API](systems-manager-setting-up-messageAPIs.md).
+ (Facoltativo) ** `com.amazonaws.{{region}}.kms`**: crea questo endpoint se desideri utilizzare la crittografia AWS Key Management Service (AWS KMS) per i parametri. Session Manager Parameter Store
+ (Facoltativo) ** `com.amazonaws.{{region}}.logs`**: crea questo endpoint se desideri utilizzare Amazon CloudWatch Logs (CloudWatch Logs) per Session ManagerRun Command, o SSM Agent logs.
Per informazioni sui bucket S3 AWS gestiti a cui SSM Agent deve essere possibile accedere, consulta. [Agente SSM comunicazioni con AWS bucket S3 gestiti](ssm-agent-technical-details.md#ssm-agent-minimum-s3-permissions) Se si utilizza un endpoint VPC nelle operazioni di Systems Manager, è necessario fornire un'autorizzazione esplicita in un profilo di istanza EC2 o in un ruolo di servizio per i nodi gestiti non EC2.
## Creazione di una policy degli endpoint VPC d'interfaccia
È possibile creare policy per gli endpoint dell'interfaccia VPC in cui è possibile specificare: AWS Systems Manager
+ Il principale che può eseguire operazioni.
+ Le operazioni che possono essere eseguite
+ Le risorse su cui è possibile eseguire le operazioni
Per ulteriori informazioni, consulta [Controllo degli accessi ai servizi con endpoint VPC](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html) nella *Guida utente Amazon VPC*.
## Considerazioni sulle politiche degli endpoint VPC per i nodi ibridi
I nodi ibridi non appartengono nativamente a un, ma Account AWS ne sono registrati. Per questo motivo, le `ssm:UpdateManagedInstancePublicKey` API `ssm:RegisterManagedInstance``ssm:RequestManagedInstanceRoleToken`, e non utilizzano AWS Signature Version 4 (Sigv4) per l'autenticazione dei nodi ibridi. Di conseguenza, la valutazione delle policy non può accedere a un'identità AWS principale o a chiavi di contesto globali come, e. `aws:PrincipalOrgId` `aws:PrincipalAccount` `aws:SourceAccount` Le restrizioni delle policy sugli endpoint VPC che si basano su queste chiavi globali o sull'identità AWS principale potrebbero bloccare l'accesso a queste tre API.
Per risolvere questo problema, puoi utilizzare due chiavi di condizione fornite. AWS Systems Manager Queste chiavi funzionano in modo coerente sia in Amazon EC2 che in scenari ibridi:
+ `ssm:NodeAccountId`— Si risolve nell'account in cui esiste un'istanza Amazon EC2 o nell'account in cui è registrato un nodo ibrido.
+ `ssm:NodeOrgId`— Si riferisce all'organizzazione proprietaria dell'account dell'istanza Amazon EC2 o all'organizzazione dell'account in cui è registrato un nodo ibrido.