跨区域VPC场景下，能否借助VPC-B接口端点连接VPC-A私有实例？

结论：不能，跨区域VPC对等场景下，无法借助VPC-B（eu-west-2）的SSM接口端点来连接VPC-A（eu-central-1）里的私有实例，尝试失败的核心原因如下：

核心限制 #

• SSM接口端点是区域级资源：接口端点的私有IP属于创建它的区域（eu-west-2），且仅处理该区域内的SSM服务请求。VPC-A的实例在eu-central-1，发送的SSM请求会被标记为eu-central-1区域的请求，VPC-B的端点会直接拒绝跨区域请求。
• 服务域名的区域绑定：SSM Agent默认会解析对应实例所在区域的服务域名（比如ssm.eu-central-1.amazonaws.com），即便你通过自定义DNS把这个域名指向VPC-B的端点IP，端点本身不具备跨区域请求处理能力，请求依然会失败。

正确解决方案 #

要在VPC-A里用会话管理器连接私有实例，必须在eu-central-1区域的VPC-A内创建自己的ec2messages、ssm、ssmmessages接口端点，具体步骤：

• 在VPC-A的控制台创建三个接口端点，分别对应上述三个服务，选择VPC-A的子网和安全组（确保安全组允许实例到端点的443端口流量）。
• 确认VPC-A的DHCP选项集配置的DNS能正确解析这些本地端点的服务域名到对应私有IP（如果用自定义DNS，需添加对应域名的解析记录）。
• 重启VPC-A内实例的SSM Agent：

  sudo systemctl restart amazon-ssm-agent
  

对你之前尝试的补充说明 #

修改/etc/amazon/ssm/amazon-ssm-agent.json.template的方式本身就不适用于跨区域场景，就算配置了VPC-B的端点地址，由于端点不处理跨区域请求，最终还是会失败。而且修改配置文件后需要重启Agent才会生效，但这解决不了核心的区域限制问题。

内容的提问来源于stack exchange，提问作者Gogsi