Session Manager ohne offene Ports

Session Manager, eine Funktion von AWS Systems Manager (SSM), bietet interaktiven Shell-Zugriff auf EC2-Instanzen und lokale Server, ohne eingehende Ports zu öffnen. Das genaue Verständnis dieser Funktionsweise ist ein wichtiges Prüfungsthema, da sie die moderne Verwaltung ohne Bastion Hosts ermöglicht.

Alles beginnt mit dem SSM Agent, einer Software, die auf den meisten AWS-AMIs (Amazon Machine Images) vorinstalliert ist. Der Agent läuft auf der Instanz und initiiert eine ausgehende Verbindung zu den Service-Endpunkten von Systems Manager. Da die Instanz die Verbindung selbst herstellt, ist niemals eine eingehende Regel erforderlich; die Sicherheitsgruppe kann den gesamten eingehenden Datenverkehr blockieren.

Damit SSM funktioniert, benötigt die Instanz eine IAM-Rolle (über ihr Instanzprofil), die Berechtigungen für Systems Manager gewährt, normalerweise die verwaltete Richtlinie AmazonSSMManagedInstanceCore. Ohne diese Rolle kann sich der Agent nicht registrieren. Das Zuweisen der richtigen Rolle ist daher der erste Schritt bei der Fehlerbehebung, wenn eine Instanz nicht als verwalteter Knoten angezeigt wird.

Session Manager funktioniert auch für Instanzen in privaten Subnetzen ohne öffentliche IP-Adresse. Der Agent erreicht SSM entweder über ein NAT-Gateway oder, sicherer, über VPC-Schnittstellenendpunkte (PrivateLink) für ssm, ssmmessages und ec2messages. Über die Endpunkte bleibt der gesamte Datenverkehr im AWS-Netzwerk und berührt niemals das Internet.

Ein autorisierter Benutzer startet eine Sitzung über die Konsole, die CLI oder das SDK. Der folgende Befehl öffnet eine Shell auf einer verwalteten Instanz, ohne dass ein SSH-Client, ein Schlüssel oder ein offener Port erforderlich ist. IAM entscheidet, ob der Benutzer die Sitzung überhaupt starten darf.

Wer eine Sitzung öffnen darf, wird vollständig durch IAM-Richtlinien für die Aktion ssm:StartSession bestimmt. Sie können den Zugriff auf bestimmte Instanzen anhand von Tags beschränken, festlegen, welche Benutzer eine Verbindung herstellen dürfen, und sogar einschränken, welche SSM-Dokumente (Sitzungstypen) sie verwenden dürfen. Dadurch wird die Verteilung von SSH-Schlüsseln durch eine zentrale und prüfbare IAM-Steuerung ersetzt.

Ein leistungsfähiges Muster besteht darin, den Sitzungszugriff anhand eines Instanz-Tags zu begrenzen. Eine Richtlinie kann ssm:StartSession nur für Instanzen mit dem Tag Environment=Dev erlauben, sodass Entwickler auf Entwicklungsserver, niemals aber auf Produktionsserver zugreifen. Diese attributbasierte Steuerung lässt sich problemlos skalieren und setzt das Least-Privilege-Prinzip ohne Richtlinien pro Instanz durch.

Sitzungsdaten werden während der Übertragung mit TLS verschlüsselt. Zusätzlich können Sie eine KMS-Verschlüsselung für den Sitzungskanal verlangen. Zusammen mit den nicht vorhandenen offenen Ports bedeutet dies, dass der administrative Datenverkehr für das Internet unsichtbar und durchgehend geschützt ist – auch für strenge Compliance-Anforderungen.

Session Manager unterstützt außerdem die Portweiterleitung. Dabei wird ein Port von Ihrem Rechner über den sicheren SSM-Kanal zu einem Port auf der Instanz (oder darüber hinaus) getunnelt. So können Sie RDP oder eine Datenbank erreichen, ohne diese Ports öffentlich zugänglich zu machen. Damit entfällt ein weiterer Grund, aus dem Teams Bastion Hosts eingesetzt haben.

Das Sicherheitsmodell ist überzeugend: keine eingehenden Ports, die angegriffen werden können, keine SSH-Schlüssel, die offengelegt werden könnten, eine IAM-basierte Zugriffskontrolle, optionale private Endpunkte und durchgängige Verschlüsselung. Damit wird jede Schwäche des herkömmlichen Fernzugriffs behoben. Deshalb gilt Session Manager in der Prüfung als Standardantwort für eine sichere Verwaltung.

Session Manager verwendet einen ausgehenden SSM Agent sowie eine Instanzrolle mit AmazonSSMManagedInstanceCore, um Shell-Zugriff ohne eingehende Ports, öffentliche IP-Adresse oder Schlüssel bereitzustellen. Der Zugriff wird durch IAM (ssm:StartSession) kontrolliert, anhand von Tags begrenzt, bei der Übertragung verschlüsselt und über VPC-Endpunkte privat erreichbar gemacht. Außerdem wird eine sichere Portweiterleitung unterstützt.

Testen Sie, wie Session Manager funktioniert.

Session Manager ermöglicht Shell-Zugriff über den ausgehenden SSM Agent und eine Instanzrolle (AmazonSSMManagedInstanceCore) – ohne eingehende Ports, öffentliche IP-Adresse oder Schlüssel. Der Zugriff wird durch IAM (ssm:StartSession) gesteuert, anhand von Tags begrenzt, mit TLS/KMS verschlüsselt und über VPC-Endpunkte für ssm, ssmmessages und ec2messages privat ermöglicht. Außerdem wird eine sichere Portweiterleitung unterstützt.