Session Manager senza porte aperte

Session Manager, una funzionalità di AWS Systems Manager (SSM), fornisce accesso interattivo alla shell alle istanze EC2 e ai server on-premises senza aprire porte in ingresso. Comprendere esattamente come lo realizza è un argomento di grande importanza per l'esame, perché costituisce la base dell'amministrazione moderna senza bastion host.

Il meccanismo inizia con SSM Agent, un software preinstallato nella maggior parte delle AMI AWS (Amazon Machine Images). L'agent viene eseguito sull'istanza e avvia una connessione in uscita agli endpoint del servizio Systems Manager. Poiché è l'istanza a stabilire la connessione, non è mai necessaria una regola in ingresso e il security group può bloccare tutto il traffico in ingresso.

Per funzionare, SSM richiede che l'istanza disponga di un ruolo IAM (tramite il relativo instance profile) che conceda le autorizzazioni per Systems Manager, in genere la policy gestita AmazonSSMManagedInstanceCore. Senza questo ruolo l'agent non può registrarsi; collegare il ruolo corretto è quindi il primo passaggio per la risoluzione dei problemi quando un'istanza non compare come nodo gestito.

Session Manager funziona anche per istanze in subnet private senza IP pubblico. L'agent raggiunge SSM tramite un NAT gateway oppure, in modo più sicuro, tramite endpoint di interfaccia VPC (PrivateLink) per ssm, ssmmessages ed ec2messages. Gli endpoint mantengono tutto il traffico sulla rete AWS, senza passare da Internet.

Un utente autorizzato avvia una sessione dalla console, dalla CLI o dall'SDK. Il comando seguente apre una shell su un'istanza gestita senza coinvolgere un client SSH, una chiave o una porta aperta. IAM stabilisce innanzitutto se l'utente può avviare la sessione.

La possibilità di aprire una sessione è regolata interamente dalle policy IAM sull'azione ssm:StartSession. È possibile limitare l'accesso a istanze specifiche tramite tag, stabilire quali utenti possono connettersi e perfino limitare i documenti SSM (tipi di sessione) che possono utilizzare. Questo sostituisce la distribuzione delle chiavi SSH con un controllo IAM centralizzato e verificabile.

Un modello efficace limita l'accesso alle sessioni in base al tag dell'istanza. Una policy può consentire ssm:StartSession solo sulle istanze contrassegnate, ad esempio, con Environment=Dev, così gli sviluppatori possono raggiungere gli ambienti di sviluppo ma mai quelli di produzione. Questo controllo basato sugli attributi è facilmente scalabile e applica il principio del privilegio minimo senza policy per singola istanza.

I dati della sessione vengono cifrati in transito tramite TLS ed è possibile richiedere la crittografia KMS per il canale della sessione, ottenendo un'ulteriore garanzia. Insieme all'assenza di porte aperte, ciò significa che il traffico amministrativo è invisibile a Internet e protetto end-to-end, soddisfacendo requisiti di conformità rigorosi.

Session Manager supporta anche l'inoltro delle porte, creando un tunnel dalla propria macchina a una porta dell'istanza (o oltre) tramite il canale SSM sicuro. Questo consente di raggiungere RDP o un database senza esporre pubblicamente tali porte, eliminando un ulteriore motivo per cui i team continuavano a utilizzare i bastion host.

Il modello di sicurezza è convincente: nessuna porta in ingresso da attaccare, nessuna chiave SSH da sottrarre, controllo degli accessi basato su IAM, endpoint privati opzionali e crittografia completa. Ogni debolezza dell'accesso remoto tradizionale viene affrontata; per questo l'esame considera Session Manager la risposta predefinita per un'amministrazione sicura.

Session Manager utilizza un SSM Agent in uscita e un ruolo dell'istanza con AmazonSSMManagedInstanceCore per fornire accesso alla shell senza porte in ingresso, IP pubblico o chiavi. L'accesso è controllato da IAM (ssm:StartSession), limitato tramite tag, cifrato in transito e raggiungibile privatamente tramite endpoint VPC. Supporta inoltre l'inoltro sicuro delle porte.

Verifichi il funzionamento di Session Manager.

Session Manager fornisce accesso alla shell tramite SSM Agent in uscita e un ruolo dell'istanza (AmazonSSMManagedInstanceCore), senza porte in ingresso, IP pubblico o chiavi. L'accesso è regolato da IAM (ssm:StartSession), limitato tramite tag, cifrato con TLS/KMS e funziona privatamente tramite endpoint VPC per ssm, ssmmessages ed ec2messages. Supporta inoltre l'inoltro sicuro delle porte.