Session Manager で EC2 に接続する（SSH 不要）

Systems Manager の Session Manager を使い、SSH キーも踏み台サーバーもポート 22 の開放も不要な状態で EC2 インスタンスにシェルアクセスする方法を解説します。

Takahiro Iwasa

2020-04-19

3 min read

AWS Systems Manager Session Manager を使うと、SSH を使わずに EC2 インスタンスへシェルアクセスできます。

SSH キー不要: SSH キーの管理やセキュリティ確保が不要になります。
踏み台ホスト不要: EC2 インスタンスへアクセスするための中継サーバーが不要になります。
ポート 22 のインバウンドルール不要: セキュリティグループでポートを開放する必要がなくなり、セキュリティが向上します。

AWS CLI から EC2 インスタンス上の SSM Agent への Session Manager 接続フロー

構築

Session Manager を利用するには、AmazonSSMManagedInstanceCore ポリシーを含む IAM ロールを EC2 インスタンスにアタッチします（30 行目）。

1
AWSTemplateFormatVersion: 2010-09-09
2
Resources:
3
  EC2:
4
    Type: AWS::EC2::Instance
5
    Properties:
6
      IamInstanceProfile: !Ref InstanceProfile
7
      ImageId: ami-0f310fced6141e627
8
      InstanceType: t3.small
9
      SecurityGroups:
10
        - !Ref SecurityGroup
11

12
  InstanceProfile:
13
    Type: AWS::IAM::InstanceProfile
14
    Properties:
15
      Path: /
16
      Roles:
17
      - !Ref IamRole
18

19
  IamRole:
20
    Type: AWS::IAM::Role
21
    Properties:
22
      AssumeRolePolicyDocument:
23
        Version: 2012-10-17
24
        Statement:
25
          - Effect: Allow
26
            Principal:
27
              Service: ec2.amazonaws.com
28
            Action: sts:AssumeRole
29
      ManagedPolicyArns:
30
        - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore
31
      RoleName: ec2-role
32

33
  SecurityGroup:
34
    Type: AWS::EC2::SecurityGroup
35
    Properties:
36
      GroupDescription: Example
37
      GroupName: ec2-security-group
38
      SecurityGroupIngress:
39
        - CidrIp: 0.0.0.0/0
40
          FromPort: 443
41
          IpProtocol: tcp
42
          ToPort: 443

ℹ️ Note

EC2 インスタンスがプライベートサブネットにある場合は、以下の VPC エンドポイントを設定してください。

com.amazonaws.region.ssm
com.amazonaws.region.ec2messages
com.amazonaws.region.ssmmessages

詳細は AWS re:Post の Knowledge Center 記事を参照してください。

スタックをデプロイします。

aws cloudformation deploy \
  --template-file template.yaml \
  --stack-name ec2-session-manager \
  --capabilities CAPABILITY_NAMED_IAM

テスト

以下のコマンドでインスタンスとのセッションを開始します。

aws ssm start-session --target i-xxxxxxxxxxxxxxxxx

以下のような出力が表示されればログイン成功です。

1
Starting session with SessionId: your-session-id
2
sh-4.2$

後片付け

作成したリソースを削除するには、スタックを削除します。

aws cloudformation delete-stack --stack-name ec2-session-manager

まとめ

EC2 インスタンスの IAM ロールに AmazonSSMManagedInstanceCore マネージドポリシーをアタッチすると、SSH キーペアや踏み台ホストを使わずに、aws ssm start-session でシェルセッションを開始できます。ポート 22 のインバウンドルールも不要なため、従来の SSH 接続よりも、管理する認証情報とネットワーク経路を減らせます。

インスタンスから ssm、ec2messages、ssmmessages の各エンドポイントへ到達できることも必要です。インターネットへ接続できないインスタンスでは、セッションを開始する前に対応する VPC エンドポイントを用意します。

記事一覧に戻る