Session Manager без открытых портов

Session Manager, функциональная возможность AWS Systems Manager (SSM), предоставляет интерактивный доступ к оболочке экземпляров EC2 и локальных серверов без открытия входящих портов. Точное понимание этого механизма — важная тема экзамена, поскольку он лежит в основе современного администрирования без бастионных узлов.

Всё начинается с агента SSM — программного обеспечения, предварительно установленного в большинстве AMI AWS (образов машин Amazon). Агент работает на экземпляре и устанавливает исходящее соединение с конечными точками сервиса Systems Manager. Поскольку соединение инициирует сам экземпляр, правило для входящего трафика не требуется, и группа безопасности может блокировать весь входящий трафик.

Для работы SSM экземпляру нужна роль IAM (через его профиль экземпляра), предоставляющая разрешения Systems Manager, обычно с управляемой политикой AmazonSSMManagedInstanceCore. Без этой роли агент не может зарегистрироваться, поэтому назначение правильной роли — первый шаг при устранении неполадок, если экземпляр не отображается как управляемый узел.

Session Manager работает даже с экземплярами в приватных подсетях без публичного IP-адреса. Агент подключается к SSM через шлюз NAT или, что безопаснее, через интерфейсные конечные точки VPC (PrivateLink) для ssm, ssmmessages и ec2messages. Конечные точки сохраняют весь трафик внутри сети AWS, не допуская его выхода в интернет.

Авторизованный пользователь запускает сеанс из консоли, CLI или SDK. Приведённая ниже команда открывает оболочку на управляемом экземпляре без клиента SSH, ключа или открытого порта. IAM определяет, может ли пользователь вообще запустить сеанс.

Право открывать сеанс полностью определяется политиками IAM для действия ssm:StartSession. Можно ограничить доступ конкретными экземплярами по тегу, определить, какие пользователи могут подключаться, и даже ограничить список документов SSM (типов сеансов), которые они могут использовать. Это заменяет распространение ключей SSH централизованным управлением IAM с возможностью аудита.

Мощный подход заключается в ограничении доступа к сеансам с помощью тега экземпляра. Политика может разрешать ssm:StartSession только для экземпляров с тегом, например Environment=Dev, чтобы разработчики получали доступ к средам разработки, но никогда — к рабочей среде. Такое управление на основе атрибутов легко масштабируется и обеспечивает минимальные привилегии без отдельных политик для каждого экземпляра.

Данные сеанса шифруются при передаче с использованием TLS, а для дополнительной защиты можно потребовать шифрование KMS канала сеанса. В сочетании с отсутствием открытых портов это означает, что административный трафик невидим для интернета и защищён от начала до конца, что соответствует строгим требованиям нормативов.

Session Manager также поддерживает перенаправление портов, создавая туннель от порта на вашем компьютере к порту экземпляра (или расположенного за ним ресурса) через защищённый канал SSM. Это позволяет обращаться к RDP или базе данных без публичного открытия этих портов и устраняет ещё одну причину, по которой команды сохраняли бастионные узлы.

Модель безопасности убедительна: нет входящих портов для атак, нет ключей SSH для утечки, управление доступом на основе IAM, необязательные приватные конечные точки и шифрование на всём пути. Каждая слабость традиционного удалённого доступа устранена, поэтому на экзамене Session Manager рассматривается как стандартный ответ для безопасного администрирования.

Session Manager использует исходящий агент SSM и роль экземпляра с политикой AmazonSSMManagedInstanceCore, чтобы предоставить доступ к оболочке без входящих портов, публичного IP-адреса и ключей. Доступ контролируется IAM (ssm:StartSession), ограничивается тегами, шифруется при передаче и может осуществляться приватно через конечные точки VPC. Также поддерживается безопасное перенаправление портов.

Проверьте, как работает Session Manager.

Session Manager предоставляет доступ к оболочке через исходящий агент SSM и роль экземпляра (AmazonSSMManagedInstanceCore), не требуя входящих портов, публичного IP-адреса или ключей. Доступ регулируется IAM (ssm:StartSession), ограничивается тегами, шифруется с помощью TLS/KMS и работает приватно через конечные точки VPC для ssm, ssmmessages и ec2messages. Также поддерживается безопасное перенаправление портов.