透過在IAM策略中指定預設的工作階段文件來啟動預設 shell 工作階段

當您Session Manager為您的配置 AWS 帳戶 或當您在 Systems Manager 主控台中變更工作階段偏好設定時，系統會建立一個名為的SSM工作階段文件SSM-SessionManagerRunShell。這是預設的工作階段文件。Session Manager 使用此文件來儲存您的工作階段偏好設定，其中包含下列資訊：

• 您想要儲存工作階段資料的位置，例如 Amazon Simple Storage Service (Amazon S3) 儲存貯體或 Amazon CloudWatch 日誌日誌群組。

• 用於加密工作階段資料的 AWS Key Management Service (AWS KMS) 金鑰 ID。

• 您的工作階段是否允許「執行身分」支援。

以下是 SSM-SessionManagerRunShell 工作階段偏好設定文件中包含的資訊範例。

{
  "schemaVersion": "1.0",
  "description": "Document to hold regional settings for Session Manager",
  "sessionType": "Standard_Stream",
  "inputs": {
    "s3BucketName": "amzn-s3-demo-bucket",
    "s3KeyPrefix": "MyS3Prefix",
    "s3EncryptionEnabled": true,
    "cloudWatchLogGroupName": "MyCWLogGroup",
    "cloudWatchEncryptionEnabled": false,
    "kmsKeyId": "1a2b3c4d",
    "runAsEnabled": true,
    "runAsDefaultUser": "RunAsUser"
  }
}

依預設，當使用者從 AWS Management Console啟動工作階段時，Session Manager 會使用預設的工作階段文件。這適用於Fleet Manager或Session Manager在 Systems Manager 控制台中，或在 Amazon 控EC2制台中 EC2 Connect。 Session Manager當使用者使用如下範例所示的 AWS CLI 命令啟動工作階段時，也會使用預設的工作階段文件：

aws ssm start-session \
    --target i-02573cafcfEXAMPLE

若要啟動預設的 Shell 工作階段，您必須在IAM原則中指定預設的工作階段文件，如下列範例所示。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnableSSMSession",
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:us-west-2:123456789012:instance/i-02573cafcfEXAMPLE",
                "arn:aws:ssm:us-west-2:123456789012:document/SSM-SessionManagerRunShell"
            ]
        }
    ]
}