EC2 の 22 番ポートを開ける前に、Session Manager を先に考えるべき理由
EC2 を管理すると聞くと、いまだに SSH で入るのが当たり前 だと思ってしまう人がいます。
もちろん SSH 自体が悪いわけではありません。ですが、AWS の設計として「安全に管理したい」「公開ポートを減らしたい」「鍵配布をやめたい」という条件が並ぶなら、まず考えるべきは AWS Systems Manager Session Manager です。
この記事では、なぜ 22 番ポートを開ける前に Session Manager を疑うべきなのかを整理します。試験対策だけでなく、踏み台運用や鍵管理に疲れている実務にもそのまま効く話です。
まず結論
先に結論を書くと、次の条件があるなら Session Manager が有力です。
- EC2 を安全に管理したい
- インターネット公開ポートを減らしたい
- SSH 鍵の配布や保管をやめたい
- 踏み台サーバーを置きたくない
- 接続ログも取りたい
つまり、管理のために 22 番を開ける前に、公開ポートなしで入れる手段がないかを先に見るべきです。
なぜ 22 番ポート運用は地味にしんどいのか
従来の SSH 運用では、少なくとも次のような論点がついて回ります。
- 22 番ポートの開放
- 接続元 IP の制御
- 鍵ペアの配布と保管
- 退職者や異動者の権限回収
- 踏み台サーバーの保守
小規模な環境なら回ることもあります。ですが、台数や担当者が増えるほど、管理のための管理が増えていきます。
たとえば「急ぎだからとりあえず 0.0.0.0/0 で 22 番を開けた」が、そのまま放置される事故は珍しくありません。サーバーに入るためにサーバーを危険にするのは、かなり筋が悪いです。
Session Manager は何をしてくれるのか
AWS Systems Manager Session Manager は、EC2 などのマネージドノードへ安全にシェル接続するための仕組みです。
特徴をざっくり言うと、次の通りです。
- SSH ポートを公開しなくても接続できる
- 踏み台サーバーが不要
- SSH 鍵を配らなくてよい
- IAM で接続権限を制御しやすい
- セッションログを残しやすい
つまり、従来 SSH で抱えていた「鍵」「踏み台」「公開ポート」の面倒をかなり減らせます。
どういう要件で Session Manager が刺さるのか
特に相性がいいのは、次のような要件です。
- 公開 SSH を避けたい
- 運用担当者ごとにアクセス管理したい
- 監査ログを残したい
- 踏み台の運用コストを下げたい
- セキュリティグループをできるだけ閉じたい
たとえば「プライベートサブネット上の EC2 を安全に管理したい」という条件なら、Session Manager はかなり自然な選択です。
例えばどう変わるか
| 従来の SSH 運用 | Session Manager |
|---|---|
| 22 番ポートを考える必要がある | 公開ポートなしでも管理しやすい |
| 鍵ペア配布が必要 | 鍵配布を減らせる |
| 踏み台が必要になりがち | 踏み台なしでも進めやすい |
| OS レベルで接続管理しがち | IAM 中心で管理しやすい |
この差は、環境が大きくなるほど効いてきます。
踏み台不要・鍵配布不要の意味
ここは実務でかなり大きいポイントです。
踏み台があると、踏み台自体の保守、パッチ、監視、アクセス制御が必要になります。要するに、管理用のサーバーを管理するための仕事が増えます。
また、SSH 鍵配布は人の出入りがある組織ほど面倒です。
- 誰がどの鍵を持っているか
- どの端末に秘密鍵があるか
- 権限剥奪時に確実に無効化できるか
このあたりを曖昧にすると、あとで監査や事故対応で苦しみます。
Session Manager は、少なくともこの面倒のかなりの部分を AWS の管理プレーン側へ寄せられるのが強みです。
試験での見分け方
AWS 認定試験では、次のような条件が並んだら Session Manager を先に疑うべきです。
- EC2 を安全に管理したい
- 公開ポートを減らしたい
- 鍵管理の手間をなくしたい
- 踏み台ホストを使いたくない
- 監査しやすい方法がほしい
逆に、問題文に「既存の SSH ベースツールと完全互換でなければならない」などの強い制約がないのに、わざわざ公開 SSH を選ぶ理由は薄いです。
実務で注意したい点
もちろん Session Manager も魔法ではありません。使うには前提があります。
- Systems Manager Agent の状態
- IAM ロールの付与
- 必要に応じた VPC Endpoint やアウトバウンド経路
- セッションログ保存先の設計
ただ、それでも 22 番を広く開けて鍵を配る構成に比べれば、整理しやすいケースは多いです。
たとえば監査や権限制御まで含めて考えるなら、接続手段を IAM ベースに寄せられるのはかなり大きいです。
まとめ
EC2 管理の話になると、つい「まず SSH」と考えがちです。
ですが、AWS で
- 公開ポートを減らしたい
- 鍵配布をやめたい
- 踏み台をなくしたい
- 監査しやすくしたい
という条件があるなら、先に考えるべきは Session Manager です。
22 番を開けるのは最後の手段であって、最初の選択肢ではない。 この感覚を持っておくと、試験でも実務でもかなり判断が安定します。