Session Manager bez otwartych portów

Session Manager, funkcja AWS Systems Manager (SSM), zapewnia interaktywny dostęp do powłoki instancji EC2 i serwerów lokalnych bez otwierania jakichkolwiek portów przychodzących. Dokładne zrozumienie tego mechanizmu jest ważnym tematem egzaminacyjnym, ponieważ stanowi podstawę nowoczesnego administrowania bez bastionów.

Wszystko zaczyna się od SSM Agent — oprogramowania zainstalowanego fabrycznie na większości obrazów AMI AWS (Amazon Machine Images). Agent działa na instancji i inicjuje wychodzące połączenie z punktami końcowymi usługi Systems Manager. Ponieważ instancja nawiązuje połączenie na zewnątrz, nie jest potrzebna żadna reguła przychodząca, a grupa zabezpieczeń może blokować cały ruch przychodzący.

Aby SSM działał, instancja potrzebuje roli IAM (za pośrednictwem profilu instancji), która nadaje uprawnienia do Systems Manager — zazwyczaj jest to zarządzana zasada AmazonSSMManagedInstanceCore. Bez tej roli agent nie może się zarejestrować, dlatego przypisanie właściwej roli jest pierwszym krokiem podczas diagnozowania problemu, gdy instancja nie pojawia się jako zarządzany węzeł.

Session Manager działa także w przypadku instancji znajdujących się w prywatnych podsieciach bez publicznego adresu IP. Agent łączy się z SSM przez bramę NAT albo, bezpieczniej, za pośrednictwem punktów końcowych interfejsu VPC (PrivateLink) dla usług ssm, ssmmessages i ec2messages. Punkty końcowe utrzymują cały ruch w sieci AWS, bez kontaktu z internetem.

Autoryzowany użytkownik rozpoczyna sesję z konsoli, interfejsu CLI lub zestawu SDK. Poniższe polecenie otwiera powłokę na zarządzanej instancji bez użycia klienta SSH, klucza ani otwartego portu. IAM decyduje, czy użytkownik w ogóle może rozpocząć sesję.

To, kto może otworzyć sesję, jest w całości określane przez zasady IAM dotyczące operacji ssm:StartSession. Dostęp można ograniczyć do określonych instancji według tagów, wskazać użytkowników, którzy mogą się łączyć, a nawet ograniczyć dokumenty SSM (typy sesji), których mogą używać. Zastępuje to dystrybucję kluczy SSH scentralizowaną i możliwą do audytowania kontrolą IAM.

Skutecznym wzorcem jest ograniczanie dostępu do sesji na podstawie tagu instancji. Zasada może zezwalać na ssm:StartSession wyłącznie w przypadku instancji oznaczonych na przykład tagiem Environment=Dev, dzięki czemu deweloperzy mają dostęp do środowiska deweloperskiego, ale nigdy do produkcji. Ta kontrola oparta na atrybutach dobrze skaluje się i egzekwuje zasadę najmniejszych uprawnień bez zasad dla poszczególnych instancji.

Dane sesji są szyfrowane podczas przesyłania za pomocą TLS. Można także wymagać szyfrowania KMS kanału sesji, aby uzyskać dodatkową ochronę. W połączeniu z brakiem otwartych portów oznacza to, że ruch administracyjny jest niewidoczny dla internetu i chroniony kompleksowo, co spełnia rygorystyczne wymagania dotyczące zgodności.

Session Manager obsługuje także przekierowanie portów, tunelując port z Państwa komputera do portu na instancji (lub dalej) za pośrednictwem bezpiecznego kanału SSM. Dzięki temu można uzyskać dostęp do RDP lub bazy danych bez publicznego udostępniania tych portów, eliminując kolejny powód, dla którego zespoły utrzymywały bastiony.

Model bezpieczeństwa jest przekonujący: brak portów przychodzących do zaatakowania, brak kluczy SSH do wykradzenia, kontrola dostępu oparta na IAM, opcjonalne prywatne punkty końcowe oraz szyfrowanie na całej drodze. Rozwiązuje to każdą słabość tradycyjnego zdalnego dostępu, dlatego egzamin traktuje Session Manager jako domyślną odpowiedź w przypadku bezpiecznej administracji.

Session Manager wykorzystuje wychodzącego SSM Agent oraz rolę instancji z uprawnieniem AmazonSSMManagedInstanceCore, aby zapewnić dostęp do powłoki bez portów przychodzących, publicznego adresu IP ani kluczy. Dostęp jest kontrolowany przez IAM (ssm:StartSession), ograniczany za pomocą tagów, szyfrowany podczas przesyłania i dostępny prywatnie przez punkty końcowe VPC. Rozwiązanie obsługuje również bezpieczne przekierowanie portów.

Sprawdź znajomość mechanizmu Session Manager.

Session Manager zapewnia dostęp do powłoki za pośrednictwem wychodzącego SSM Agent oraz roli instancji (AmazonSSMManagedInstanceCore), bez potrzeby używania portów przychodzących, publicznego adresu IP ani kluczy. Dostęp jest kontrolowany przez IAM (ssm:StartSession), ograniczany za pomocą tagów, szyfrowany przy użyciu TLS/KMS i działa prywatnie przez punkty końcowe VPC dla usług ssm, ssmmessages i ec2messages. Obsługuje także bezpieczne przekierowanie portów.