AWS Session Manager 要求允许入站流量，但不应该答案

【问题标题】：AWS Session Manager requires allowing inbound traffic but it shouldn'tAWS Session Manager 要求允许入站流量，但不应该
【发布时间】：2019-08-07 22:06:55
【问题描述】：

我有一个运行以下网络设置的 EC2 实例：

它驻留在连接了 Internet 网关的公共子网中
它有一个安全组附加一个出站规则以允许所有流量（0.0.0.0/0 上的所有端口）

根据文档，应该可以使用 AWS Session Manager 连接到实例：

为了让您的托管实例和 Systems Manager 服务相互通信，您必须执行以下操作之一：
-将 Systems Manager 配置为使用接口虚拟私有云 (VPC)
端点
- 在您的托管实例上启用出站 Internet 访问

注意
不需要启用入站互联网访问。

（来源：https://docs.aws.amazon.com/systems-manager/latest/userguide/systems-manager-prereqs.html）

但是当我尝试与 Session Manager 连接时，连接未初始化（出现黑屏但它保持空白）。

如果我在安全组中启用所有入站流量（通过在 0.0.0.0/0 上的所有端口上添加入站规则），则会话管理器可以正常工作。但它不应该是必需的，当然出于安全原因我想避免它。

那么设置有什么问题呢？

【问题讨论】：

确认您的实例有公共 IP 地址吗？这是它驻留在连接了 Internet 网关的公共子网中所暗示的要求。我无法想象情况并非如此，但想澄清一下。
是的，它有一个公共IP地址
[编辑删除最近的引用，SSH 隧道支持是新的]。很难说你为什么会遇到问题，如果你能提供一个可重现的模板，我可以看看。或者，我最近写了一个你可能感兴趣的博客：aws.amazon.com/blogs/infrastructure-and-automation/…。我提供了一个无需开放端口或密钥对即可连接到私有子网中的实例的示例。

标签： amazon-web-services amazon-vpc amazon-systems-manager

【解决方案1】：

据我了解，您没有配置 VPC Endpoint。 VPC Endpoint 是一个接口，使您能够通过私有 AWS 网络（而不是通过 Internet）使用 AWS 服务。因此您不需要启用入站规则，AWS System Manager 通过 VPC Endpoint 连接到您的 EC2（这是安全的并推荐一种连接方式）。但是，当您在安全组中允许入站规则时，它会通过 Internet 连接到您的实例，并且不安全。所以使用 VPC Endpoint 接口。没那么难用，可以参考VPC Endpoint AWS System Manager Documentation

【讨论】：

是的，这也是一个选项，但 AWS 文档指出需要“以下之一” - VPC 或启用出站互联网访问。 VPC 端点的缺点是它的成本。
你能澄清一下吗？当您仅启用出站规则时，您的 EC2 中是否可以访问 Internet。例如，您能否与 EC2 中的其他网站或服务进行通信？