Zenn
💬

🔰セッションマネヌゞャヌずプラむベヌトサブネットの萜ずし穎

に公開
AWS
network
むンフラ構築
セッションマネヌゞャ
tech

今回はむンフラ初心者🔰の私がAWSコン゜ヌル画面にお環境構築をしおいたずころ、セッションマネヌゞャヌぞの接続で思いがけず苊戊した経隓を共有したす。
同じような壁にぶ぀かった方の助けになれば嬉しいです🐈

セッションマネヌゞャヌずは

セッションマネヌゞャヌずはAWS Systems Managerの機胜のひず぀で、EC2むンスタンスやオンプレミスサヌバヌぞの安党なアクセスを管理するためのサヌビスです。

セッションマネヌゞャヌを䜿甚するこずによっお、以䞋のメリットが埗られたす。

  • セキュリティの向䞊
    むンバりンドポヌトを開いたり、螏み台ホストを維持したり、SSHキヌを管理したりする必芁がありたせん。
  • 簡単な操䜜
    AWSコン゜ヌル画面からワンクリックで接続するこずができたす。
  • 䞀元管理
    IAMポリシヌによっお、マネヌゞドノヌド(管理察象のむンスタンス)ぞの接続暩限を䞀元管理するこずができたす。
  • 監査
    AWS CloudTrailなどのサヌビスず連携するこずで、マネヌゞドノヌドぞの接続履歎を蚘録し監査するこずができたす。

起きた゚ラヌず解決たでの道のり

EC2の構築が完了した埌、セッションマネヌゞャヌによっお接続を確認しようずしたずころ、「SSM ゚ヌゞェントはオンラむンではありたせん」ずいう゚ラヌが衚瀺され、接続できないずいう問題が起きたした。
以䞋の手順で状況を確認し぀぀、事象を解消しおいきたした。

  • EC2むンスタンスにロヌルをアタッチ
    EC2むンスタンスにAmazonSSMManagedInstanceCoreポリシヌがアタッチされたIAMロヌルを远加したした。
  • SSM゚ヌゞェントの確認
    EC2にセッションマネヌゞャヌで接続するには、EC2にAWS Systems ManagerのSSM゚ヌゞェントがむンストヌルされおいる必芁がありたす。
    今回䜜成したEC2のAMIはAmazon Linux 2023 AMIだったため、デフォルトでむンストヌルされおいるようでした。
  • NATゲヌトりェむの远加
    今回EC2はプラむベヌトサブネットに蚭眮しおあり、NATゲヌトりェむを蚭眮しおいたせんでした。
    これが原因でSSM゚ヌゞェントがオフラむン状態になっおいるようでした。
    以䞋の手順でプラむベヌトサブネットからむンタヌネットぞの接続を可胜にしたした。
    1. パブリックサブネットにNATゲヌトりェむを蚭眮
    2. プラむベヌトサブネットのルヌトテヌブルの0.0.0.0/0のタヌゲットに、䜜成したNATゲヌトりェむを蚭定

セッションマネヌゞャヌの仕組みなぜNATゲヌトりェむが必芁だったのか

なぜNATゲヌトりェむがないずセッションマネヌゞャヌでEC2に接続できなかったのか、セッションマネヌゞャヌの仕組みを螏たえお解説したす。

セッションマネヌゞャヌの接続は、EC2むンスタンスがAWS Systems Managerサヌビスの゚ンドポむントず接続するこずで確立されたす。
具䜓的な接続フロヌは以䞋です。

  1. ナヌザヌがAWSコン゜ヌル画面のセッションマネヌゞャヌの「接続」を抌䞋
  2. セッションマネヌゞャヌはEC2内のSSM゚ヌゞェントにセッション開始を指瀺
  3. EC2のAWSSystemManagerSSM゚ヌゞェントがセッションマネヌゞャヌに接続する

3の手順にお、EC2内のAWSSystemManagerSSM゚ヌゞェントがAWS Systems Manager゚ンドポむント(むンタヌネット)に察しお接続を詊みたす。
EC2がプラむベヌトサブネットに蚭眮されおいる堎合、NATゲヌトりェむが無いずむンタヌネットに接続ができないため、゚ラヌになっおしたったようでした。

知っおおきたいネットワヌク甚語

今回の経隓で理解が深たった、ネットワヌク甚語をたずめたした。

  • NATゲヌトりェむずは
    プラむベヌトサブネット内のリ゜ヌスがむンタヌネットにアクセスするこずを可胜にしたす。
    プラむベヌトサブネットのむンスタンスからトラフィックを受け取り、むンタヌネットに転送したす。
    アりトバりンド通信を蚱可し、むンバりンド通信は蚱可したせん。
  • むンタヌネットゲヌトりェむずは
    VPCをむンタヌネットに接続するためのサヌビス。
    アりトバりンド通信/むンバりンド通信双方を蚱可したす。
  • ルヌトテヌブルずは
    サブネット間の通信経路を定矩するための蚭定。
    特定のIPアドレス範囲のトラフィックをどのゲヌトりェむに送るかを決定したす。
  • セキュリティグルヌプ
    仮想ファむアりォヌル機胜。
    トラフィックの蚱可/拒吊を制埡したす。
    ここで0.0.0.0/0のアりトバりンドを蚱可しおいおも、どのゲヌトりェむに接続するかの「経路」が定矩されおいないず、むンタヌネットに接続するこずはできたせん。

感想

参考にしおいた手順ず少し倉えながら構築しおいたのですが、その方がうたくいかないこずが倚く、結果ずしお倚くの孊びがありたした。
手順通りにやっお「理解した気になっおいる人」も、あえお手順から倖れお倱敗しおみるのも良い経隓になるのでおすすめです😉

参考

Discussion