为会话管理开启会话加密

操作步骤

1. 登录ECS控制台-实例，在页面顶部选择资源组和地域。

2. 找到目标实例后，单击远程连接，在对话框中，单击通过Workbench远程连接对应的立即登录。

3. 在Workbench的登录实例页面，选择免密连接，完成以下配置：

   1. 开启会话加密开关。

   2. 在加密模式中，选择自动协商密钥。

   

4. 单击登录。

   成功连接后，登录的终端窗口顶部会显示This session is encrypted提示，表明当前会话已成功加密。

准备工作

• 在与ECS实例相同的地域创建一个对称密钥类型的KMS用户主密钥。

• 为ECS实例绑定一个RAM角色，并授予解密会话加密密钥的权限。

• 若使用RAM用户操作，需额外为其授予使用KMS密钥的权限。

操作步骤

1. 登录ECS控制台-实例，在页面顶部选择资源组和地域。

2. 找到目标实例后，单击远程连接，在对话框中，单击通过Workbench远程连接对应的立即登录。

3. 在Workbench的登录实例页面，选择免密连接，完成以下配置：

   1. 开启会话加密开关。

   2. 在加密模式中，选择并配置KMS密钥。

      

4. 单击登录。

   成功连接后，登录的终端窗口顶部会显示This session is encrypted提示，表明当前会话已成功加密。

RAM用户使用KMS密钥所需权限

如果RAM用户需要使用KMS密钥模式加密会话，除基础会话管理权限外，还需配置以下权限。配置该权限后，RAM用户可通过KMS密钥生成会话加密密钥。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:ListKeys",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "kms:GenerateDataKey",
      "Resource": "*"
    }
  ]
}

实例RAM角色所需权限

如果使用KMS密钥模式加密会话，ECS实例内的云助手Agent需扮演实例RAM角色，解密由KMS生成的会话加密密钥。请为实例绑定的RAM角色授予以下权限：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:Decrypt",
      "Resource": "acs:kms:<region-id>:<account-id>:key/<cmk-id>"
    }
  ]
}

Resource中<region-id>为KMS密钥所在地域ID，<account-id>为阿里云主账号ID，<cmk-id>为KMS的用户主密钥ID。