AWS ECS経由でRDSに簡単接続のためのセキュアなポートフォワーディングCLIツールを作ってみた
はじめに
AWS環境でRDSにアクセスしたいとき、セキュリティを考慮すると直接インターネット経由でアクセスするのは推奨されません。通常は踏み台サーバーを使ったり、VPN接続を設定したりしますが、設定が複雑だったり管理が大変だったりします。
そこで、AWS ECSとSSM Session Managerを使って、セキュアで簡単にRDSに接続できるCLIツールを作ってみました！
このツールの特徴
- ✅ インタラクティブな操作: 使いやすいzoxideスタイルの検索付きCLI
- ✅ セキュア: AWS SSM Session Managerを使用した暗号化通信
- ✅ 簡単設定: 複雑な設定ファイル不要
- ✅ 自動取得: ECSクラスター・タスク・RDSインスタンスを自動で取得
- ✅ TypeScript製: 型安全で保守性の高いコード
仕組み
[ローカルPC] → [SSM Session Manager] → [ECSタスク] → [RDS]
↑ ↑
localhost:8888 プライベートサブネット
このツールは以下の仕組みで動作します：
- AWS SSM Session Managerでセキュアな接続を確立
- 指定したECSタスクを踏み台として使用
- ローカルポートからRDSへのポートフォワーディングを実行
📊 なぜこのツールを作ったのか
従来の方法の課題
- 踏み台サーバー管理: EC2インスタンスの管理・監視が必要
- VPN設定の複雑さ: Client VPNの設定・維持コスト
- セキュリティリスク: SSH鍵管理・セキュリティパッチ適用
- 操作の煩雑さ: 毎回コマンドを手動入力する手間
このツールで解決できること
- 管理不要: ECSタスクを踏み台として利用（既存リソース活用）
- 簡単操作: 対話的UIで誰でも簡単に使用可能
- セキュア: SSM Session Managerによる暗号化通信
- コスト効率: 追加インフラ不要
🚀 インストールと使用方法
前提条件
- AWS CLI設定済み
- Session Manager Plugin
- Node.js (v18以上)
# AWS CLI (macOS)
brew install awscli
aws configure
# Session Manager Plugin (macOS)
brew install session-manager-plugin
実行
# npmから直接実行
npx ecs-pf connect
🎮 実際の使用例
$ npx ecs-pf connect
🚀 AWS ECS経由RDS接続ツールを開始します...
📋 AWS設定を確認しています...
🌍 利用可能なAWSリージョンを取得しています...
💡 zoxide-style: リストは入力に応じてフィルタされます (↑↓で選択, Enterで確定)
? 🌍 AWSリージョンを検索・選択: ap-northeast-1
✅ リージョン: ap-northeast-1
🔍 ECSクラスターを取得しています...
? 🔍 ECSクラスターを検索・選択: production-cluster
🔍 ECSタスクを取得しています...
? 🔍 ECSタスクを検索・選択: web-service: 12345678...
🔍 RDSインスタンスを取得しています...
? 🔍 RDSインスタンスを検索・選択: production-db (postgres) - xxx.rds.amazonaws.com:5432
? RDSポート番号を入力 (postgres): 5432
? ローカルポート番号を入力: 8888
🚀 ポートフォワーディングセッションを開始します...
選択されたタスク: ecs:production-cluster_123456789
実行コマンド:
aws ssm start-session --target ecs:production-cluster_123456789 --parameters {"host":["xxx.rds.amazonaws.com"],"portNumber":["5432"],"localPortNumber":["8888"]} --document-name AWS-StartPortForwardingSessionToRemoteHost
🎯 localhost:8888 でRDS接続が利用可能になります
セッションを終了するには Ctrl+C を押してください
接続が確立されたら、別のターミナルでデータベースに接続できます：
# TablePlusや DBeaver などのGUIツールでも接続可能
# PostgreSQLの場合
psql -h localhost -p 8888 -U myuser -d mydatabase
# MySQLの場合
mysql -h localhost -P 8888 -u myuser -p mydatabase
🛠️ 技術詳細
使用している技術スタック
- 言語: TypeScript + Node.js (ESModules)
- AWS SDK: @aws-sdk/client-*シリーズ
- CLI: Commander.js
- 対話UI: Inquirer.js + Fuse.js (あいまい検索)
- ビルドツール: TypeScript Compiler
- リンター/フォーマッター: Biome
主要な実装ポイント
1. zoxideスタイルの検索機能
const selectedCluster = await search({
message: "🔍 Search and select ECS cluster:",
source: async (input) => {
return await searchClusters(clusters, input || "");
},
pageSize: 12,
}) as ECSCluster;
Fuse.jsを使って、リアルタイムでファジー検索ができる使いやすいUIを実装しました。
2. AWS SDK v3の活用
const ecsClient = new ECSClient({ region });
const clusters = await ecsClient.send(new ListClustersCommand({}));
最新のAWS SDK v3を使用して、モジュラーで効率的なAWS APIの呼び出しを実現。
3. エラーハンドリングと再試行機能
export async function connectToRDS(): Promise<void> {
let retryCount = 0;
const maxRetries = 3;
while (retryCount <= maxRetries) {
try {
await connectToRDSInternal();
return;
} catch (error) {
retryCount++;
displayFriendlyError(error);
if (retryCount <= maxRetries) {
const shouldRetry = await askRetry();
if (!shouldRetry) return;
}
}
}
}
🔧 必要なAWS権限
このツールを使用するには、以下のIAM権限が必要です：
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ecs:ListClusters",
"ecs:ListServices",
"ecs:ListTasks",
"ecs:DescribeTasks",
"rds:DescribeDBInstances",
"ssm:StartSession",
"ec2:DescribeRegions"
],
"Resource": "*"
}
]
}
🔒 セキュリティの考慮点
1. セキュアな通信
- SSM Session Managerによる暗号化通信
- インターネットゲートウェイ不要
- セキュリティグループでの厳密なアクセス制御
2. 最小権限の原則
- 必要最小限のIAM権限のみ要求
- 一時的な接続（セッション終了で自動切断）
3. 監査ログ
- AWS CloudTrailでセッション開始/終了を記録
- Session Managerによる接続ログ
🚧 今後の改善予定
- 引数対応: コマンドライン引数での接続先指定
- 設定ファイル対応: よく使う接続先の保存機能
🌟 まとめ
AWS ECS経由でRDSに接続するCLIツール「ecs-pf」を紹介しました。
このツールの特徴：
- セキュア: SSM Session Managerによる暗号化通信
- 簡単: 対話的UIで直感的な操作
- 効率的: 既存のECSタスクを踏み台として活用
- 保守性: TypeScriptによる型安全なコード
開発者の皆さん、ぜひ試してみてください！
npx ecs-pf connect
🔗 リンク
🏷️ タグ
AWS ECS RDS CLI TypeScript ポートフォワーディング SSM セキュリティ DevOps