今回のエラー内容

EC2にSSM経由で接続しようとコマンドを入力した結果エラーが発生しました。

aws ssm start-session --target {インスタンス-ID} --profile {プロファイル名}
An error occurred (TargetNotConnected) when calling the StartSession operation: {インスタンス-ID} is not connected.

結論

VPCエンドポイントのインバウンドルールにHTTPSがなかったことが原因でした。

調査の過程

EC2にEC2 Instance Connectを使用して接続して、SSM Clientのログを確認

上記注意点として、EC2にいったんSSH接続可能なインバウンドルールを適用する必要があります。
SSH接続ができたら、sudo ls /var/log/amazon/ssmでファイルを確認して、sudo tail /var/log/amazon/ssm/errors.logでログを確認します。

caused by: Post {URL}: dial tcp {IPアドレス}:443: i/o timeout

そしたら、上記エラーログを確認できました。
知らないIPのHTTPSポートにPOSTしようとしてtimeoutになっていることは理解できたのですが、どこに投げているのかのさっぱりわかりませんでした。

とりあえずログと状況でググる

ググると下記URLがヒットしたので、見てみると、3番目の状況が似ていると思い、VPCのネットワークACLとEC2のセキュリティールールを確認しました。しかし、両方とも適切に設定されていました。

https://repost.aws/knowledge-center/ssm-tcp-timeout-error

さらにググる

すると下記URLがヒットしました。見てみると、VPCエンドポイントを通り、Session Managerとのやり取りをするみたいです。ならばと思い、VPCエンドポイントのインバウンドルールを見てみるとHTTPSのルールがありませんでした。

https://www.guri2o1667.work/entry/2020/05/01/AWS_SessionManager%28%E3%82%BB%E3%83%83%E3%82%B7%E3%83%A7%E3%83%B3%E3%83%9E%E3%83%8D%E3%83%BC%E3%82%B8%E3%83%A3%EF%BC%89%E3%81%AE%E3%83%88%E3%83%A9%E3%83%96%E3%83%AB%E3%82%B7%E3%83%A5%E3%83%BC%E3%83%86

まとめ

VPCエンドポイントやAWS System Manager Session Managerについての理解がまだ浅いと感じました。まだまだ、凡事徹底やな。