目的

今までインスタンスに接続するのにレガシーにTeratermでssh接続していたが、心を入れ替えて、セキュアにSesson Managerを使うように変えていこうかなと思い、使い方を確認する。

AWS Systems Manager Session Manager とは（自分の理解）

AWS Systems Managerの中の一機能で、sshをせずに、AWSの機能としてLinuxにシェルアクセス(WindowsにはPowerShell)できる。

やったこと

以下の環境のEC2インスタンス(Amazon linux 2)へSession Managerを用いて接続できることを確認する。
- インターネット接続あり(IGW/EIP, NatGateway)
- インターネット接続なし(VPCエンドポイント)
接続のログが取れることを確認する。

構成図

予習

公式ドキュメント等を見て、Session ManagerでEC2インスタンスにアクセスするには何が必要なのかを予習する。
- 公式ドキュメント：　「Systems Manager を使用してインターネットアクセスなしでプライベート EC2 インスタンスを管理できるように、VPC エンドポイントを作成するにはどうすればよいですか?」
- Developers.IO記事：　「プライベートサブネットにあるEC2インスタンスを Systems Manager で管理する」
以下の3つの条件が必要と理解した。
- 条件1: インスタンスにSSM Agentがインストールされ起動していること。
- 条件2: 対象のEC2インスタンスに適切なIAM Roleが付与されていること。
- 条件3: VPCの外にあるSSM用のAPIと通信できること。

手順

環境準備

VPC/Subnet の作成
- 構成図のVPC(2個)/Subnet(3個)を作成する。
- IGWを作成しVPC1にアタッチする。
インスタンスの作成
- 構成図の通り4つのインスタンス(mksamba-ssm01～04)を作成する。今回は全てAmazon Linux 2を使用(SSM Agentがプリインストールされているため)。

Session Manager 利用の準備

条件1(SSM Agent起動)
- Amazon Linux 2の場合、プリインストールされているので追加は不要。一応動作確認を行う。（状態がActiveになっていることを確認する。）

[ec2-user@ip-10-0-0-220 ~]$ sudo systemctl status amazon-ssm-agent
● amazon-ssm-agent.service - amazon-ssm-agent
   Loaded: loaded (/usr/lib/systemd/system/amazon-ssm-agent.service; enabled; vendor preset: enabled)
   Active: active (running) since Sat 2020-07-18 15:21:24 UTC; 18min ago
 Main PID: 3251 (amazon-ssm-agen)
   CGroup: /system.slice/amazon-ssm-agent.service
           mq3251 /usr/bin/amazon-ssm-agent

条件2(適切なIAM Roleの付与)
- Session Managerを使用するために必要とされる権限「AmazonSSMManagedInstanceCore」を含むIAM Role「mksamba_AmazonSSMManagedInstanceCore」を作成し、4つのインスタンスに割り当てる。

条件3(VPC外のSSM用のAPIとの疎通)
- IGWによる外部接続
  - インスタンス(mksamba-ssm01)にEIPを割り当てる。(比較のため、同じsubnetのインスタンス(mksamba-ssm02)にはEIPを割り当てない)
- NatGatewayによる外部接続
  - NatGatewayを作成し、インスタンス(mksamba-ssm03)が所属するsubnetのRoutetableにNatGatewayへの経路を設定する。
- VPCエンドポイントによる接続
  - 以下の3つのエンドポイントを作成し、エンドポイントの作成先としてインスタンス(mksamba-ssm04)が所属するsubnetを指定する。
    - com.amazonaws.ap-northeast-1.ssm
    - com.amazonaws.ap-northeast-1.ec2messages
    - com.amazonaws.ap-northeast-1.ssmmessages

接続確認

「AWS Systems Manager」 - 「インスタンスとノード」 - 「マネージドインスタンス」　のメニューを開き、対象のインスタンスが「マネージドインスタンス」として表示されていることを確認する。
インスタンスssm01(IGW/EIPあり)、ssm03(NatGateway)、ssm04(VPCエンドポイント)は経路があるので管理対象として表示されている。ssm02(IGW/EIPなし)は経路がないので表示されない。

上記の画面からインスタンスを選択し、「アクション」- 「Start Session」を選択し、ブラウザから接続する。sshして接続するのと同様にコマンド実行することができる。ローカルPCとのテキストのコピーペーストも可能。

ログの確認

接続の概要(接続したIAMユーザ, 接続先インスタンス、時刻)についてはマネージメントコンソールで確認可能。

接続してどんなコマンドを打ったのかの詳細をS3バケットやCloudWatch Logsに出力可能。そのためには以下の追加設定(3点)が必要。
- Roleへの権限追加
  - インスタンスに付与しているRole「mksamba_AmazonSSMManagedInstanceCore」にS3バケット及びCloudWatchLogsへのアクセス権を追加する。（今回は検証なので「S3FullAccess」「CloudWatchLogsFullAccess」を追加。本来は必要最小限に）
- S3エンドポイントの追加
  - インターネット接続がない場合(今回はインスタンスssm04)はS3エンドポイントの追加が必要。
  - VPCエンドポイント「com.amazonaws.ap-northeast-1.s3」を追加する。
- セッションマネージャーでのログ出力の設定
  - 「AWS Systems Manager」 - 「インスタンスとノード」 - 「セッションマネージャー」-「設定」にて、セッションのログをS3バケット及びCloudWatch Logsに出力する設定を追加する。(S3はバケット、CloudWatch Logsはロググループを指定)

S3バケットの中にセッション毎にログファイルが作成される。各ファイルの中に実施したコマンドが保存される。

S3のログファイル(IAMユーザ-セッションID.log)

Script started on 2020-09-02 07:06:54+0000
sh-4.2$ 
sh-4.2$ date
Wed Sep  2 07:06:51 UTC 2020
sh-4.2$ pwd
/usr/bin
sh-4.2$ exit
exit
Script done on 2020-09-02 07:06:54+0000

CloudWatch Logsでも同様にセッション毎にログが保存される。

所感

慣れればそんなに面倒ではないのかも、、