Açık Bağlantı Noktaları Olmadan Session Manager

AWS Systems Manager'ın (SSM) bir özelliği olan Session Manager, hiçbir gelen bağlantı noktasını açmadan EC2 örneklerine ve şirket içi sunuculara etkileşimli kabuk erişimi sağlar. Bunun tam olarak nasıl gerçekleştiğini anlamak, modern ve bastion sunucusuz yönetimin temelini oluşturduğu için sınav açısından önemli bir konudur.

Her şey çoğu AWS AMI'sinde (Amazon Makine Görüntülerinde) önceden yüklü olan SSM Agent ile başlar. Aracı örnekte çalışır ve Systems Manager hizmet uç noktalarına giden bir bağlantı başlatır. Örnek dışarıya bağlandığı için hiçbir gelen kural gerekmez; güvenlik grubu gelen tüm trafiği engelleyebilir.

SSM'nin çalışması için örneğin, genellikle yönetilen AmazonSSMManagedInstanceCore ilkesi aracılığıyla Systems Manager izinleri veren bir IAM rolüne (örnek profili üzerinden) ihtiyacı vardır. Bu rol olmadan aracı kaydolamaz. Bu nedenle bir örnek yönetilen düğüm olarak görünmediğinde doğru rolü eklemek, sorun gidermenin ilk adımıdır.

Session Manager, genel IP'si olmayan özel alt ağlardaki örneklerde bile çalışır. Aracı, SSM'ye bir NAT ağ geçidi üzerinden veya daha güvenli biçimde ssm, ssmmessages ve ec2messages için VPC arabirim uç noktaları (PrivateLink) üzerinden ulaşır. Uç noktaları tüm trafiği internete hiç dokunmadan AWS ağı içinde tutar.

Yetkili bir kullanıcı konsoldan, CLI'dan veya SDK'dan oturum başlatır. Aşağıdaki komut, herhangi bir SSH istemcisi, anahtar veya açık bağlantı noktası kullanmadan yönetilen bir örnekte kabuk açar. Kullanıcının oturum başlatıp başlatamayacağına IAM karar verir.

Oturumu kimin açabileceği, tamamen ssm:StartSession eylemindeki IAM ilkeleri tarafından belirlenir. Erişimi etikete göre belirli örneklerle sınırlandırabilir, hangi kullanıcıların bağlanabileceğini kısıtlayabilir ve hatta kullanılabilecek SSM belgelerini (oturum türlerini) sınırlayabilirsiniz. Bu, SSH anahtarlarının dağıtımını merkezi ve denetlenebilir IAM denetimiyle değiştirir.

Oturum erişimini örnek etiketine göre sınırlandırmak güçlü bir yöntemdir. Bir ilke, ssm:StartSession eylemine yalnızca örneğin Environment=Dev gibi bir etiket taşıdığı durumlarda izin verebilir; böylece geliştiriciler geliştirme sunucularına ulaşabilir, üretim ortamına ise hiçbir zaman erişemez. Bu öznitelik tabanlı denetim kolayca ölçeklenir ve örnek başına ilkelere gerek kalmadan en az ayrıcalık ilkesini uygular.

Oturum verileri TLS kullanılarak aktarılırken şifrelenir. Ek güvence için oturum kanalı açısından KMS şifrelemesi de zorunlu tutulabilir. Açık bağlantı noktalarının bulunmamasıyla birlikte bu, yönetim trafiğinin hem internetten görünmez hem de uçtan uca korumalı olması anlamına gelir ve sıkı uyumluluk gereksinimlerini karşılar.

Session Manager ayrıca bağlantı noktası yönlendirmeyi destekler; makinenizdeki bir bağlantı noktasından örnekteki (veya daha ilerideki) bir bağlantı noktasına güvenli SSM kanalı üzerinden tünel oluşturur. Böylece bu bağlantı noktalarını genel erişime açmadan RDP'ye veya bir veritabanına ulaşabilir ve ekiplerin bastion sunucularını kullanmaya devam etmesinin bir başka nedenini ortadan kaldırabilirsiniz.

Güvenlik modeli oldukça güçlüdür: saldırılacak gelen bağlantı noktaları yoktur, sızdırılabilecek SSH anahtarları yoktur, erişim IAM tabanlıdır, isteğe bağlı özel uç noktalar kullanılabilir ve her şey boyunca şifreleme uygulanır. Geleneksel uzaktan erişimin tüm zayıflıkları giderilir; bu nedenle sınav, güvenli yönetim için Session Manager'ı varsayılan yanıt olarak kabul eder.

Session Manager, giden bir SSM Agent ile AmazonSSMManagedInstanceCore içeren bir örnek rolünü kullanarak gelen bağlantı noktaları, genel IP veya anahtar olmadan kabuk erişimi sağlar. Erişim IAM (ssm:StartSession) tarafından denetlenir, etiketlerle sınırlandırılır, aktarım sırasında şifrelenir ve VPC uç noktaları üzerinden özel olarak kullanılabilir. Ayrıca güvenli bağlantı noktası yönlendirmesini destekler.

Session Manager'ın çalışma mekanizmasını sınayın.

Session Manager, giden SSM Agent ile bir örnek rolü (AmazonSSMManagedInstanceCore) üzerinden kabuk erişimi sağlar; gelen bağlantı noktaları, genel IP veya anahtar gerekmez. Erişim IAM (ssm:StartSession) tarafından yönetilir, etiketlerle sınırlandırılır, TLS/KMS ile şifrelenir ve ssm, ssmmessages ile ec2messages için VPC uç noktaları üzerinden özel olarak çalışır. Ayrıca güvenli bağlantı noktası yönlendirmesini destekler.