VPCエンドポイントをCloudFormationで一括作成：SSM・SSMMessages・EC2Messages対応テンプレート

Posted at 2025-06-15

はじめに

本記事では、AWS CloudFormation を用いて、Session Manager 利用に必要な VPC エンドポイント（Interface型）を一括で作成するテンプレートを試してみた記録をまとめます。対象は以下の3つのサービスです：

SSM
SSMMessages
EC2Messages

これらを一つのサブネットに対してまとめて構築できるテンプレートを作成してみました...！

書こうと思ったきっかけ

普段、Session Manager を使って EC2 に接続する際、VPCエンドポイント（特にインターフェース型）を手動で構築していました。

ただ、構成管理や再現性の観点から、毎回マネコンで作るのは非効率だと感じており、CloudFormation テンプレートで一元管理した方が便利だと思いました。

また、Session Manager を使って EC2 に接続する記事は以下の記事で詳細にまとめているので、興味のある方は参考にしてみてください。

そこで、Session Manager に必要な3種のエンドポイントをまとめて作成できるテンプレートを用意し、実際に動かしてみることにしました。

実際にやってみた

以下のテンプレートを使用して、CloudFormation スタックを作成しました。

AWSTemplateFormatVersion: '2010-09-09'
Description: Create SSM-related Interface VPC Endpoints with one subnet

Parameters:
  VpcId:
    Type: AWS::EC2::VPC::Id
    Description: VPC ID

  InterfaceSubnetId:
    Type: AWS::EC2::Subnet::Id
    Description: Interface Subnet ID (1つだけ)

  InterfaceSecurityGroupId:
    Type: AWS::EC2::SecurityGroup::Id
    Description: Interface型エンドポイント用のセキュリティグループID

Resources:

  # SSM Endpoint
  ssmEndpoint:
    Type: AWS::EC2::VPCEndpoint
    Properties:
      ServiceName: !Sub "com.amazonaws.${AWS::Region}.ssm"
      SubnetIds:
        - !Ref InterfaceSubnetId
      VpcId: !Ref VpcId
      VpcEndpointType: Interface
      SecurityGroupIds:
        - !Ref InterfaceSecurityGroupId
      PrivateDnsEnabled: true

  # SSM Messages Endpoint
  ssmMessagesEndpoint:
    Type: AWS::EC2::VPCEndpoint
    Properties:
      ServiceName: !Sub "com.amazonaws.${AWS::Region}.ssmmessages"
      SubnetIds:
        - !Ref InterfaceSubnetId
      VpcId: !Ref VpcId
      VpcEndpointType: Interface
      SecurityGroupIds:
        - !Ref InterfaceSecurityGroupId
      PrivateDnsEnabled: true

  # EC2 Messages Endpoint
  ec2MessagesEndpoint:
    Type: AWS::EC2::VPCEndpoint
    Properties:
      ServiceName: !Sub "com.amazonaws.${AWS::Region}.ec2messages"
      SubnetIds:
        - !Ref InterfaceSubnetId
      VpcId: !Ref VpcId
      VpcEndpointType: Interface
      SecurityGroupIds:
        - !Ref InterfaceSecurityGroupId
      PrivateDnsEnabled: true