Session Manager sans ports ouverts

Session Manager, une fonctionnalité d’AWS Systems Manager (SSM), vous fournit un accès interactif à l’interpréteur de commandes des instances EC2 et des serveurs sur site sans ouvrir de ports entrants. Comprendre précisément son fonctionnement est un sujet d’examen très important, car il constitue la base d’une administration moderne sans bastion.

Tout commence avec SSM Agent, un logiciel préinstallé sur la plupart des AMI AWS (images machine Amazon). L’agent s’exécute sur l’instance et initie une connexion sortante vers les points de terminaison du service Systems Manager. Comme l’instance établit elle-même la connexion, aucune règle entrante n’est nécessaire ; le groupe de sécurité peut bloquer tout le trafic entrant.

Pour que SSM fonctionne, l’instance a besoin d’un rôle IAM (via son profil d’instance) accordant les autorisations Systems Manager, généralement la politique gérée AmazonSSMManagedInstanceCore. Sans ce rôle, l’agent ne peut pas s’enregistrer. L’association du rôle approprié est donc la première étape de dépannage lorsqu’une instance n’apparaît pas comme nœud géré.

Session Manager fonctionne même pour les instances situées dans des sous-réseaux privés sans adresse IP publique. L’agent atteint SSM soit via une passerelle NAT, soit, de manière plus sécurisée, via des points de terminaison d’interface VPC (PrivateLink) pour ssm, ssmmessages et ec2messages. Les points de terminaison maintiennent tout le trafic sur le réseau AWS, sans jamais passer par Internet.

Un utilisateur autorisé démarre une session depuis la console, la CLI ou le SDK. La commande ci-dessous ouvre un interpréteur de commandes sur une instance gérée, sans client SSH, clé ni port ouvert. IAM détermine si l’utilisateur est autorisé à démarrer la session.

Les personnes autorisées à ouvrir une session sont entièrement déterminées par les politiques IAM appliquées à l’action ssm:StartSession. Vous pouvez limiter l’accès à certaines instances selon leurs balises, restreindre les utilisateurs autorisés à se connecter et même limiter les documents SSM (types de session) qu’ils peuvent utiliser. Cela remplace la distribution de clés SSH par un contrôle IAM centralisé et auditable.

Un modèle puissant consiste à limiter l’accès aux sessions selon la balise de l’instance. Une politique peut autoriser ssm:StartSession uniquement sur les instances portant, par exemple, la balise Environment=Dev : les développeurs accèdent ainsi aux machines de développement, mais jamais à la production. Ce contrôle fondé sur les attributs s’étend facilement et applique le moindre privilège sans politiques propres à chaque instance.

Les données de session sont chiffrées en transit avec TLS, et vous pouvez exiger le chiffrement KMS du canal de session pour une assurance supplémentaire. Associé à l’absence de ports ouverts, ce mécanisme signifie que le trafic d’administration est à la fois invisible depuis Internet et protégé de bout en bout, ce qui répond à des exigences strictes de conformité.

Session Manager prend également en charge la redirection de port, en acheminant un port de votre machine vers un port de l’instance (ou au-delà) via le canal SSM sécurisé. Vous pouvez ainsi accéder à RDP ou à une base de données sans exposer publiquement ces ports, éliminant une raison supplémentaire pour laquelle les équipes conservaient des bastions.

Le modèle de sécurité est convaincant : aucun port entrant à attaquer, aucune clé SSH à divulguer, contrôle d’accès fondé sur IAM, points de terminaison privés facultatifs et chiffrement généralisé. Chaque faiblesse de l’accès distant traditionnel est traitée, raison pour laquelle l’examen considère Session Manager comme la réponse par défaut pour une administration sécurisée.

Session Manager utilise un SSM Agent sortant et un rôle d’instance doté de AmazonSSMManagedInstanceCore pour fournir un accès à l’interpréteur de commandes avec aucun port entrant, aucune adresse IP publique et aucune clé. L’accès est contrôlé par IAM (ssm:StartSession), limité par des balises, chiffré en transit et accessible de manière privée via des points de terminaison VPC. La solution prend également en charge la redirection sécurisée de port.

Testez le fonctionnement de Session Manager.

Session Manager fournit un accès à l’interpréteur de commandes par l’intermédiaire de SSM Agent sortant et d’un rôle d’instance (AmazonSSMManagedInstanceCore), sans nécessiter de ports entrants, d’adresse IP publique ni de clés. L’accès est régi par IAM (ssm:StartSession), limité par des balises, chiffré avec TLS/KMS et fonctionne de manière privée via des points de terminaison VPC pour ssm, ssmmessages et ec2messages. La solution prend également en charge la redirection sécurisée de port.