Session Manager で EC2 に接続する（SSH 不要）

Systems Manager の Session Manager を使い、SSH キーも踏み台サーバーもポート 22 の開放も不要な状態で EC2 インスタンスにシェルアクセスする方法。

Takahiro Iwasa

2020-04-19

3 min read

Systems Manager - Session Manager を使うと、SSH を使わずに EC2 インスタンスへシェルアクセスできます。

SSH キー不要: SSH キーの管理やセキュリティ確保が不要になります。
踏み台ホスト不要: EC2 インスタンスへアクセスするための中継サーバーが不要になります。
ポート 22 のインバウンドルール不要: セキュリティグループでポートを開放する必要がなくなり、セキュリティが向上します。

構築

Session Manager を利用するには、EC2 インスタンスに AmazonSSMManagedInstanceCore ポリシーをアタッチした IAM ロールが必要です（30 行目）。

1
AWSTemplateFormatVersion: 2010-09-09
2
Resources:
3
  EC2:
4
    Type: AWS::EC2::Instance
5
    Properties:
6
      IamInstanceProfile: !Ref InstanceProfile
7
      ImageId: ami-0f310fced6141e627
8
      InstanceType: t3.small
9
      SecurityGroups:
10
        - !Ref SecurityGroup
11

12
  InstanceProfile:
13
    Type: AWS::IAM::InstanceProfile
14
    Properties:
15
      Path: /
16
      Roles:
17
      - !Ref IamRole
18

19
  IamRole:
20
    Type: AWS::IAM::Role
21
    Properties:
22
      AssumeRolePolicyDocument:
23
        Version: 2012-10-17
24
        Statement:
25
          - Effect: Allow
26
            Principal:
27
              Service: ec2.amazonaws.com
28
            Action: sts:AssumeRole
29
      ManagedPolicyArns:
30
        - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore
31
      RoleName: ec2-role
32

33
  SecurityGroup:
34
    Type: AWS::EC2::SecurityGroup
35
    Properties:
36
      GroupDescription: Example
37
      GroupName: ec2-security-group
38
      SecurityGroupIngress:
39
        - CidrIp: 0.0.0.0/0
40
          FromPort: 443
41
          IpProtocol: tcp
42
          ToPort: 443

ℹ️ Note

EC2 インスタンスがプライベートサブネットにある場合は、以下の VPC エンドポイントを設定してください。

com.amazonaws.region.ssm
com.amazonaws.region.ec2messages
com.amazonaws.region.ssmmessages

詳細は公式のナレッジを参照してください。

スタックをデプロイします。

aws cloudformation deploy \
  --template-file template.yaml \
  --stack-name ec2-session-manager \
  --capabilities CAPABILITY_NAMED_IAM

テスト

インスタンスとのセッションは、以下のコマンドで開始できます。

aws ssm start-session --target i-xxxxxxxxxxxxxxxxx

以下のような出力が表示されればログイン成功です。

1
Starting session with SessionId: your-session-id
2
sh-4.2$

後片付け

作成したリソースを削除するには、スタックを削除します。

aws cloudformation delete-stack --stack-name ec2-session-manager

まとめ

EC2 インスタンスロールに AmazonSSMManagedInstanceCore マネージドポリシーをアタッチするだけで、SSH キーペアも踏み台ホストも介さずに aws ssm start-session でシェルセッションを開けるようになりました。実質的にはこのポリシーのアタッチだけで設定は完了しており、この例のセキュリティグループもアウトバウンドの HTTPS を許可するだけで、ポート 22 へのインバウンドルールは一切不要です。従来の SSH ベースのアクセス方式と比べると、管理・保護しなければならない対象がそれだけ大きく減ることになります。事前に計画しておくべき唯一の前提は、ssm、ec2messages、ssmmessages の各エンドポイントへのネットワーク到達性です。パブリックサブネットであれば追加設定なしに到達できますが、プライベートサブネットの場合は、セッションが成立する前に対応する VPC エンドポイントを用意しておく必要があります。

記事一覧に戻る