はじめに
プライベートサブネットに配置したEC2へ、VPCエンドポイント経由でセッションマネージャーを用いて接続する場合の構成を図でまとめました。
構成図
①EC2（SSMエージェント）からSystems Managerへの接続
SSMエージェントがインストールされたEC2インスタンスは、Systems Managerに接続を試みます。
- プライベートサブネット内からVPC外部（AWS内部ネットワーク）へ接続する経路としてVPCエンドポイントを作成しています。
- EC2には、Systems Manager接続のための権限（IAM Role）を割り当てる必要があります。
- EC2、およびVPCエンドポイントにはセキュリティグループを設定する必要があり、許可する通信を適切に設定する必要があります。
②クライアントからEC2への接続
ユーザーはAWSコンソール画面などのクライアントからセッションマネージャーを用いた接続を開始します。
接続できない場合の確認ポイント
セッションマネージャーを用いてEC2インスタンスへ接続できない場合、以下ポイントを確認しましょう。
- EC2インスタンスにSSMエージェントはインストールされているか
- EC2インスタンスのIAMロールは適切か
- VPCエンドポイントは作成しているか
- EC2インスタンスのセキュリティグループでVPCエンドポイントへのアウトバウンドが許可されているか
- VPCエンドポイントのセキュリティグループでEC2インスタンスからのインバウンドが許可されているか
1. EC2インスタンスにSSMエージェントはインストールされているか
EC2インスタンスにSSMエージェントがインストールされていない場合は、インストールを行います。
AWSマネージドのAMIであれば基本的にSSMエージェントはプリインストールされています。
プリインストールされているAMIのリストは以下を参照ください。
2. EC2インスタンスのIAMロールは適切か
EC2インスタンスのIAMロールにAmazonSSMManagedInstanceCoreポリシーを追加します。
その他のポリシーが不要な場合は、同ポリシーのみがセットされた同名のロールもAWSマネージドで用意されています。
3. VPCエンドポイントは作成しているか
EC2インスタンスがSystems Managerエンドポイントへ接続できるようにするため、以下のVPCエンドポイントが必要です。
- com.amazonaws.region.ssm
- com.amazonaws.region.ssmmessages
SSMエージェントのバージョンが3.3.40.0より前の場合、以下も必要です。
- com.amazonaws.region.ec2messages
最新のAMIであれば基本的に3.3.40.0以降が入っているかと思います。
→Amazon Linux 2023 の2024/9/7時点の最新のAMI（al2023-ami-2023.5.20240903.0-kernel-6.1-x86_64）は3.3.380.0でした。
4. EC2インスタンスのセキュリティグループにVPCエンドポイントへのアウトバウンドルールが設定されているか
EC2インスタンスに設定したセキュリティグループのアウトバウンドルールにおいて、VPCエンドポイントへのHTTPS（ポート443）が許可されている必要があります。
Interface型のVPCエンドポイントはENI（ネットワークインターフェース）が作成されるため、ENIのプライベートIPアドレスをEC2のセキュリティグループのアウトバウンドルールとして許可します。
5. VPCエンドポイントのセキュリティグループでEC2インスタンスからのインバウンドが許可されているか
VPCエンドポイントに設定したセキュリティグループのインバウンドルールにおいて、EC2インスタンスからのHTTPS（ポート443）が許可されている必要があります。
IPアドレスを表現した構成図
接続失敗時のエラー
EC2からSystems Managerに接続できない時、EC2のAWSコンソール画面から接続する際には以下エラーが表示されます。
インスタンスはセッションマネージャーに接続されていません。
セッションマネージャーを使用してインスタンスに接続するには、インスタンスがSystems Manager エンドポイントに接続できる必要があります。
以下エラーが表示される場合もあります（おそらくIAMロールが適切でないとき）
SSMエージェントはオンラインではありません
SSMエージェントは Systems Manager エンドポイントに接続して自身をサービスに登録できませんでした。
ちなみに、セッションマネージャーでの接続が成功している状態でセキュリティグループを編集して接続できない状態にしても、再起動をかけるまでは接続することができました。
EC2インスタンスからSystemsManagerへの接続（構成図の青矢印）は、インスタンス起動時に行われ、SSMエージェントがSystems Managerへ登録を行っているのだと思います。