खुले पोर्ट के बिना Session Manager

AWS Systems Manager (SSM) की सुविधा Session Manager किसी भी इनबाउंड पोर्ट को खोले बिना EC2 इंस्टेंस और ऑन-प्रिमाइसेस सर्वर तक इंटरैक्टिव शेल पहुँच देती है। यह समझना कि यह ठीक किस प्रकार काम करता है, परीक्षा का महत्वपूर्ण विषय है, क्योंकि यही आधुनिक, बास्टियन-रहित प्रशासन का आधार है।

यह प्रक्रिया SSM Agent से शुरू होती है। यह सॉफ़्टवेयर अधिकांश AWS AMI (Amazon Machine Images) में पहले से स्थापित होता है। एजेंट इंस्टेंस पर चलता है और Systems Manager सेवा के एंडपॉइंट से आउटबाउंड कनेक्शन शुरू करता है। चूँकि इंस्टेंस स्वयं बाहर कनेक्शन बनाता है, इसलिए कभी भी इनबाउंड नियम की आवश्यकता नहीं होती और सुरक्षा समूह सभी इनबाउंड ट्रैफ़िक को रोक सकता है।

SSM के काम करने के लिए इंस्टेंस को अपने इंस्टेंस प्रोफ़ाइल के माध्यम से ऐसी IAM भूमिका चाहिए जो Systems Manager की अनुमतियाँ देती हो, आमतौर पर प्रबंधित नीति AmazonSSMManagedInstanceCore के माध्यम से। इस भूमिका के बिना एजेंट पंजीकृत नहीं हो सकता, इसलिए जब कोई इंस्टेंस प्रबंधित नोड के रूप में दिखाई न दे, तो सही भूमिका जोड़ना पहला समस्या-निवारण चरण होना चाहिए।

Session Manager उन इंस्टेंस के लिए भी काम करता है जो बिना सार्वजनिक IP वाले निजी सबनेट में हों। एजेंट SSM तक या तो NAT गेटवे के माध्यम से पहुँचता है या अधिक सुरक्षित रूप से, ssm, ssmmessages और ec2messages के लिए VPC इंटरफ़ेस एंडपॉइंट (PrivateLink) के माध्यम से। एंडपॉइंट पूरा ट्रैफ़िक AWS नेटवर्क में रखते हैं और उसे इंटरनेट को छूने नहीं देते।

अधिकृत उपयोगकर्ता कंसोल, CLI या SDK से सत्र शुरू करता है। नीचे दिया गया आदेश बिना SSH क्लाइंट, कुंजी या खुले पोर्ट के किसी प्रबंधित इंस्टेंस पर शेल खोलता है। IAM तय करता है कि उपयोगकर्ता सत्र शुरू कर भी सकता है या नहीं।

कौन सत्र खोल सकता है, यह पूरी तरह ssm:StartSession कार्रवाई पर लागू IAM नीतियों द्वारा निर्धारित होता है। आप टैग के आधार पर विशिष्ट इंस्टेंस तक पहुँच सीमित कर सकते हैं, यह नियंत्रित कर सकते हैं कि कौन-से उपयोगकर्ता जुड़ सकते हैं और यह भी सीमित कर सकते हैं कि वे कौन-से SSM दस्तावेज़ (सत्र प्रकार) उपयोग कर सकते हैं। इससे SSH कुंजियों के वितरण की जगह केंद्रीकृत और ऑडिट योग्य IAM नियंत्रण मिलता है।

एक शक्तिशाली तरीका इंस्टेंस के टैग के आधार पर सत्र की पहुँच सीमित करना है। कोई नीति केवल Environment=Dev टैग वाले इंस्टेंस पर ssm:StartSession की अनुमति दे सकती है, ताकि डेवलपर विकास परिवेश के सर्वर तक पहुँचें, उत्पादन तक कभी नहीं। यह विशेषता-आधारित नियंत्रण आसानी से बड़े स्तर पर लागू होता है और हर इंस्टेंस के लिए अलग नीति बनाए बिना न्यूनतम अधिकार सुनिश्चित करता है।

सत्र डेटा TLS का उपयोग करके संचरण के दौरान एन्क्रिप्टेड रहता है और अतिरिक्त आश्वासन के लिए आप सत्र चैनल के लिए KMS एन्क्रिप्शन अनिवार्य कर सकते हैं। खुले पोर्ट न होने के साथ इसका अर्थ है कि प्रशासनिक ट्रैफ़िक इंटरनेट से अदृश्य और एक छोर से दूसरे छोर तक सुरक्षित रहता है, जिससे कड़े अनुपालन संबंधी आवश्यकताएँ पूरी होती हैं।

Session Manager पोर्ट फ़ॉरवर्डिंग का भी समर्थन करता है, जिसमें सुरक्षित SSM चैनल के माध्यम से आपकी मशीन के किसी पोर्ट को इंस्टेंस के किसी पोर्ट (या उससे आगे) तक सुरंगित किया जाता है। इससे आप उन पोर्ट को सार्वजनिक रूप से उजागर किए बिना RDP या डेटाबेस तक पहुँच सकते हैं, और बास्टियन बनाए रखने का एक और कारण समाप्त हो जाता है।

इसका सुरक्षा मॉडल प्रभावशाली है: हमला करने के लिए कोई इनबाउंड पोर्ट नहीं, लीक होने के लिए कोई SSH कुंजी नहीं, IAM-आधारित पहुँच नियंत्रण, वैकल्पिक निजी एंडपॉइंट और हर स्तर पर एन्क्रिप्शन। पारंपरिक दूरस्थ पहुँच की हर कमजोरी को संबोधित किया जाता है, इसलिए परीक्षा सुरक्षित प्रशासन के लिए Session Manager को डिफ़ॉल्ट उत्तर मानती है।

Session Manager, AmazonSSMManagedInstanceCore वाली इंस्टेंस भूमिका के साथ एक आउटबाउंड SSM Agent का उपयोग करके बिना इनबाउंड पोर्ट, सार्वजनिक IP या कुंजी के शेल पहुँच देता है। पहुँच IAM (ssm:StartSession) द्वारा नियंत्रित, टैग के आधार पर सीमित और संचरण के दौरान एन्क्रिप्टेड होती है तथा VPC एंडपॉइंट के माध्यम से निजी रूप से उपलब्ध रहती है। यह सुरक्षित पोर्ट फ़ॉरवर्डिंग का भी समर्थन करता है।

Session Manager आउटबाउंड SSM Agent और इंस्टेंस भूमिका (AmazonSSMManagedInstanceCore) के माध्यम से शेल पहुँच देता है, जिसमें कोई इनबाउंड पोर्ट, सार्वजनिक IP या कुंजी आवश्यक नहीं होती। पहुँच IAM (ssm:StartSession) द्वारा नियंत्रित, टैग के आधार पर सीमित और TLS/KMS से एन्क्रिप्टेड होती है तथा ssm, ssmmessages और ec2messages के लिए VPC एंडपॉइंट के माध्यम से निजी रूप से काम करती है। यह सुरक्षित पोर्ट फ़ॉरवर्डिंग का भी समर्थन करता है।