通过Workbench连接实例

什么是Workbench？

Workbench介绍

Workbench是阿里云为您提供的一款Web远程连接工具，该工具无需安装，直接在浏览器使用。使用该工具连接ECS实例流程如图所示。

Workbench基本使用流程

使用Workbench连接实例的流程如图所示。

1. 找到待连接的实例。

2. 打通Workbench与ECS实例之间的网络连接。

   这一步需要设置实例所在的安全组与实例内防火墙，需放行来自Workbench的入方向流量。

3. 使用Workbench连接实例。

   在控制台选择通过Workbench连接实例，输入用户名、密码、密钥对等信息。

4. 开通服务关联角色。

   如果您在使用Workbench连接实例时没有创建服务关联角色，系统会提示您授予Workbench访问ECS实例的权限，即开通服务关联角色。

5. 成功连接到实例，执行运维操作。

Workbench的服务关联角色

由于Workbench需要操作您的ECS实例，因此，在首次使用Workbench连接实例时，会提示您创建服务关联角色AliyunServiceRoleForECSWorkbench，Workbench服务会以该角色的身份访问您的ECS实例。更多服务关联角色的说明，请参见服务关联角色。

如图所示，在首次连接实例时会出现以下对话框，单击确定系统会自动为您创建该服务关联角色。

如果您是RAM用户，您需要联系主账号或管理员为您授予AliyunECSWorkbenchFullAccess系统权限策略，拥有该权限的用户才可以创建Workbench的服务关联角色。

RAM用户使用Workbench的权限设置

在开通服务关联角色后，RAM用户使用Workbench需设置如下权限策略，该策略代表用户可以使用Workbench连接所有ECS实例。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

如果需要限制用户可以通过Workbench连接的实例，可通过修改Resource字段实现，格式如下：

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": [
        "acs:ecs-workbench:{#regionId}:{#accountId}:workbench/{#instanceId}",
        "acs:ecs-workbench:{#regionId}:{#accountId}:workbench/{#instanceId}"
      ],
      "Effect": "Allow"
    }
  ]
}

参数说明如下：

• {#regionId}：实例所在地域ID，可设置为通配符*。

• {#accountId}：主账号ID，可设置为通配符*。

• {#instanceId}：目标实例ID，可设置为通配符*。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "ecs-workbench:LoginInstance",
      "Resource": [
        "acs:ecs-workbench:*:*:workbench/i-001",
        "acs:ecs-workbench:*:*:workbench/i-002"
      ],
      "Effect": "Allow"
    }
  ]
}

Workbench相关安全组设置

由于使用Workbench通过SSH或RDP方式连接实例时，您需要在实例所在安全组放通来自Workbench服务端的入网流量，您可以根据您网络类型的不同，参考下表添加安全组规则。具体操作，请参见添加安全组规则。