開放ポートを使わないSession Manager

AWS Systems Manager (SSM) の機能であるSession Managerを使用すると、インバウンドポートを一切開放せずに、EC2 インスタンスやオンプレミスサーバーへの対話型シェルアクセスが可能になります。これを実現する仕組みを正確に理解することは、踏み台ホストを使わない最新の管理方式の基盤となるため、試験で非常に重要なテーマです。

この仕組みは、ほとんどの AWS AMI（Amazon Machine Images）にあらかじめインストールされているソフトウェア、SSM Agentから始まります。Agent はインスタンス上で実行され、Systems Manager サービスのエンドポイントへのアウトバウンド接続を開始します。インスタンス側から接続するため、インバウンドルールは一切必要なく、セキュリティグループですべてのインバウンドトラフィックをブロックできます。

SSM を動作させるには、インスタンスプロファイルを介して、Systems Manager の権限を付与するIAM ロールがインスタンスに必要です。通常は、管理ポリシー AmazonSSMManagedInstanceCore を使用します。このロールがないと Agent は登録できないため、インスタンスがマネージドノードとして表示されない場合は、適切なロールがアタッチされているかを最初に確認します。

Session Manager は、パブリック IP のないプライベートサブネット内のインスタンスでも動作します。Agent は、NAT ゲートウェイ経由、またはより安全な方法として、ssm、ssmmessages、ec2messages 用のVPC インターフェイスエンドポイント（PrivateLink）経由で SSM に接続します。エンドポイントを使用すると、すべてのトラフィックがインターネットに触れることなく AWS ネットワーク内に留まります。

認証されたユーザーは、コンソール、CLI、または SDK からセッションを開始します。以下のコマンドは、SSH クライアント、キー、開放ポートを一切使わずに、マネージドインスタンス上のシェルを開きます。ユーザーがセッションを開始できるかどうかは IAM が決定します。

セッションを開けるユーザーは、ssm:StartSession アクションに対するIAM ポリシーによって完全に制御されます。タグで特定のインスタンスにアクセス範囲を限定したり、接続できるユーザーを制限したり、使用できる SSM ドキュメント（セッションタイプ）を限定したりできます。これにより、SSH キーの配布を、集中管理され監査可能な IAM 制御に置き換えられます。

強力なパターンとして、インスタンスのタグでセッションアクセスの範囲を限定できます。たとえば、ポリシーで ssm:StartSession を Environment=Dev のタグが付いたインスタンスにだけ許可すれば、開発者は開発環境には接続できますが、本番環境には接続できません。この属性ベースの制御は、インスタンスごとのポリシーを使わずにきれいに拡張でき、最小権限を適用します。

セッションデータは TLS を使用して転送中に暗号化されます。また、セッションチャネルにKMS 暗号化を必須にして、さらに保証を高めることもできます。開放ポートがないことと組み合わせることで、管理トラフィックはインターネットから見えず、エンドツーエンドで保護されるため、厳格なコンプライアンス要件を満たせます。

Session Manager はポートフォワーディングもサポートしています。安全な SSM チャネルを介して、ローカルマシンのポートからインスタンス上（またはその先）のポートへトンネリングできます。これにより、ポートをパブリックに公開せずに RDP やデータベースへ接続でき、チームが踏み台ホストを使い続けていた別の理由も解消できます。

このセキュリティモデルには大きな利点があります。攻撃対象となるインバウンドポートがなく、漏洩するSSH キーもなく、アクセス制御はIAM ベースで、オプションでプライベートエンドポイントを使用でき、全体を通じて暗号化されます。従来のリモートアクセスの弱点をすべて解消するため、試験では Session Manager が安全な管理のデフォルトの答えとして扱われます。

Session Managerは、アウトバウンド接続を行うSSM Agentと、AmazonSSMManagedInstanceCoreを持つインスタンスロールを使用して、インバウンドポート、パブリック IP、キーなしでシェルアクセスを提供します。アクセスはIAM（ssm:StartSession）で制御され、タグで範囲を限定できます。転送中は暗号化され、VPC エンドポイント経由でプライベートに接続できます。安全なポートフォワーディングにも対応しています。

Session Manager の仕組みを確認します。

Session Managerは、アウトバウンド接続を行うSSM Agentとインスタンスロール（AmazonSSMManagedInstanceCore）を介してシェルアクセスを提供し、インバウンドポート、パブリック IP、キーを必要としません。アクセスはIAM（ssm:StartSession）で管理され、タグで範囲を限定できます。TLS/KMS で暗号化され、ssm、ssmmessages、ec2messages 用のVPC エンドポイントを介してプライベートに動作します。安全なポートフォワーディングにも対応しています。