Session Manager uden åbne porte

Session Manager, som er en funktion i AWS Systems Manager (SSM), giver dig interaktiv shell-adgang til EC2-instanser og lokale servere uden at åbne indgående porte. Det er et vigtigt emne til eksamenen at forstå præcis, hvordan dette fungerer, fordi det danner grundlaget for moderne administration uden bastionværter.

Det hele begynder med SSM Agent, software der er forudinstalleret på de fleste AWS AMI'er (Amazon Machine Images). Agenten kører på instansen og opretter en udgående forbindelse til Systems Manager-tjenestens endpoints. Fordi instansen selv opretter forbindelsen udad, kræves der aldrig en indgående regel, og sikkerhedsgruppen kan blokere al indgående trafik.

For at SSM kan fungere, skal instansen have en IAM-rolle via sin instansprofil, som giver Systems Manager de nødvendige tilladelser, typisk den administrerede politik AmazonSSMManagedInstanceCore. Uden denne rolle kan agenten ikke registrere sig, så tilknytning af den korrekte rolle er det første fejlfindingstrin, når en instans ikke vises som en administreret node.

Session Manager fungerer også for instanser i private subnets uden offentlig IP-adresse. Agenten når SSM enten via en NAT-gateway eller, mere sikkert, via VPC-interface-endpoints (PrivateLink) for ssm, ssmmessages og ec2messages. Endpoints holder al trafik på AWS-netværket, så den aldrig berører internettet.

En autoriseret bruger starter en session fra konsollen, CLI'en eller SDK'et. Kommandoen nedenfor åbner en shell på en administreret instans uden brug af SSH-klient, nøgle eller åben port. IAM afgør, om brugeren overhovedet må starte sessionen.

Hvem der kan åbne en session, bestemmes udelukkende af IAM-politikker for handlingen ssm:StartSession. Du kan begrænse adgangen til bestemte instanser efter tag, begrænse hvilke brugere der må oprette forbindelse, og endda begrænse, hvilke SSM-dokumenter (sessionstyper) de må bruge. Det erstatter distribution af SSH-nøgler med centraliseret og kontrollerbar IAM-styring.

Et effektivt mønster begrænser sessionadgangen efter instansens tag. En politik kan kun tillade ssm:StartSession på instanser med tagget f.eks. Environment=Dev, så udviklere får adgang til udviklingsmaskiner, men aldrig til produktion. Denne attributbaserede kontrol skalerer problemfrit og håndhæver princippet om mindst mulige rettigheder uden politikker for hver enkelt instans.

Sessionsdata er krypteret under transport ved hjælp af TLS, og du kan kræve KMS-kryptering af sessionskanalen for yderligere sikkerhed. Sammen med fraværet af åbne porte betyder det, at administrativ trafik både er usynlig for internettet og beskyttet fra ende til anden, så strenge compliancekrav opfyldes.

Session Manager understøtter også portvideresendelse, hvor en port fra din maskine tunneleres til en port på instansen eller videre gennem den sikre SSM-kanal. Det giver dig adgang til RDP eller en database uden at eksponere portene offentligt og fjerner endnu en grund til, at teams tidligere beholdt bastionværter.

Sikkerhedsmodellen er overbevisende: ingen indgående porte, der kan angribes, ingen SSH-nøgler, der kan lække, IAM-baseret adgangskontrol, valgfri private endpoints og kryptering hele vejen igennem. Alle svagheder ved traditionel fjernadgang håndteres, og derfor betragter eksamenen Session Manager som standardsvaret til sikker administration.

Session Manager bruger en udgående SSM Agent samt en instansrolle med AmazonSSMManagedInstanceCore til at levere shell-adgang med ingen indgående porte, offentlig IP-adresse eller nøgler. Adgangen styres af IAM (ssm:StartSession), begrænses med tags, krypteres under transport og kan nås privat via VPC-endpoints. Den understøtter også sikker portvideresendelse.

Session Manager giver shell-adgang gennem den udgående SSM Agent samt en instansrolle (AmazonSSMManagedInstanceCore) og kræver ingen indgående porte, offentlig IP-adresse eller nøgler. Adgangen styres af IAM (ssm:StartSession), begrænses med tags, krypteres med TLS/KMS og fungerer privat via VPC-endpoints for ssm, ssmmessages og ec2messages. Den understøtter også sikker portvideresendelse.