1. はじめに

自身のAWS検証環境にて踏み台（Bastion）経由で SSH 接続していたところ、
以下のような警告が出ました。

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Host key for [localhost]:2222 has changed and you have requested strict checking.
Host key verification failed.

見慣れない方にとっては「セキュリティ事故か！？」と思うかもしれません。
そこで今回は、この警告の原因と安全な対処法をまとめておきます。
（個人の検証環境での経験ベースです。）

2. 警告の原因

SSH ホストキーとは

SSH は接続先サーバーを認証するために「ホストキー（公開鍵）」を利用します。
初回接続時にこのキーを記録し、次回接続時に一致するかをチェックします。

一致する → 信頼できるサーバーと判断して接続

不一致 → 「サーバーがすり替わっているかもしれない」と警告

つまり、「REMOTE HOST IDENTIFICATION HAS CHANGED!」は
過去に記録したホストキーと異なるキーを検出したことを意味します。

3. 踏み台構成での典型的な原因

プライベートサブネット上の EC2 にローカルから直接アクセスできない場合、
踏み台ホストを経由してポートフォワーディングを行うケースがあります。

(ローカルPC)
|
| ssh -L 2222:private-ec2:22 ec2-user@bastion
|
(Bastion)
|
└── Private EC2

このとき、SSH は「[localhost]:2222」としてホストキーを保存します。

つまり、
・EC2を再起動
・踏み台経由の経路変更
・Auto Scaling による再作成
などにより、実際に接続先となるEC2のホストキーが変化すると、
SSHは「[localhost]:2222のキーが変わった」と誤認し、警告を出します。

4. 解決方法

一時的な対応（検証環境向け）

ローカルPCの known_hosts に記録された古いキーを削除します。

C:\Users{ユーザー名}.ssh\known_hosts

5. まとめ

・踏み台＋ポートフォワード構成では、環境変更時に発生しやすい
・検証環境では known_hosts の更新でOK
・本番では Elastic IP + 固定ポートで安定運用を推奨