AWS Systems Manager Session Manager

IAM ポリシーを使用してマネージドノードの一元化アクセス制御

管理者はマネージドノードのアクセスを許可および取り消す場所は1カ所あります。AWS Identity and Access Management (IAM) ポリシーのみを使用して、Session Manager の使用とアクセス可能なマネージドノードにおいて、組織内で対象となる個々のユーザーまたはグループを管理することができます。

インバウンドポートを開いたり、踏み台ホストや SSH キーを管理したりする必要はありません

マネージドノードのインバウンド SSH ポートとリモート PowerShell ポートを開いたままにした場合、エンティティが未許可または悪意のあるコマンドをマネージドノード上で実行するリスクが大幅に増加します。Session Manager はこれらのインバウンドポートを塞ぎ、SSH キーと証明書の管理、踏み台ホスト、ジャンプボックスの管理からユーザーを解放して、セキュリティ体制の向上に役立ちます。

コンソールと CLI からワンクリックでマネージドノードへアクセス

AWS Systems Manager コンソール、または Amazon EC2 コンソールを使用すると、ワンクリックでセッションを開始できます。AWS CLI を使用して、1 つのコマンドまたは一連のコマンドを実行するセッションを開始することもできます。マネージドノードへのアクセス権限はSSH キーやその他メカニズムではなく、IAM ポリシーによって付与されるため、接続時間が大幅に短縮されます。

ハイブリッドおよびマルチクラウド環境で Amazon EC2 インスタンスと非 EC2 マネージドノードの両方に接続する

ハイブリッドおよびマルチクラウド環境では、Amazon Elastic Compute Cloud (Amazon EC2) インスタンスと非 EC2 ノードの両方に接続できます。

Session Manager を使用して EC2 以外のノードに接続するには、最初にアドバンストインスタンス層をアクティブ化する必要があります。アドバンストインスタンス層の使用には料金が発生します。ただし、Session Manager を使用して EC2 インスタンスに接続するための追加料金はありません。詳細については、インスタンス層の設定 を参照してください。

ポート転送

マネージドノード内の任意のポートをクライアントのローカルポートにリダイレクトします。その後、ローカルポートに接続してノード内で実行されているサーバーアプリケーションにアクセスします。

Windows、Linux、および macOS のクロスプラットフォームサポート

Session Manager は、Windows、Linux、および macOS に対して単一のツールからサポートを提供します。例えば、Linux と macOS のマネージドノードには SSH クライアントを使用する必要はなく、Windows Server のマネージドノードには RDP 接続も不要です。

「セッションアクティビティのログ記録」

組織内で運用上またはセキュリティ上の要件を満たすため、マネージドノードへの接続記録と実行されたコマンドの記録を提出しなければならない場合があります。組織内のユーザーがセッションアクティビティを開始または終了すると、通知を受け取ることもできます。

ログ記録機能は、次の AWS のサービスとの統合によって提供されます。

セキュリティの体制を強化し、マネージドノードのアクセス制御を一元化することで運用のオーバーヘッドを削減し、インバウンドノードアクセスを削減することを目指すすべての AWS カスタマー。

マネージドノードのアクセスとアクティビティの監視と追跡、マネージドノードのインバウンド ポートの閉鎖、パブリック IP アドレスがないマネージドノードへの接続許可を希望する情報セキュリティの専門家。

単一の場所からアクセス権の付与と取り消しと、Linux、macOS および Windows Server のマネージドノードのユーザーに 1 つのソリューションの提供を希望する管理者。

ブラウザまたは AWS CLI からワンクリックかつSSH キーを提供せずにマネージドノードに接続を希望するユーザー。

Windows Server、Linux および macOS のマネージドノードを対象にしたサポート

Session Manager では Amazon Elastic Compute Cloud (EC2) インスタンス、エッジデバイス、オンプレミスサーバー、仮想マシン (VM) への安全な接続を確立できます。サポートされているオペレーティングシステムタイプのリストについては、「Session Manager を設定する」を参照してください。

コンソール、CLI、および SDK の Session Manager 機能へのアクセス

次の方法で Session Manager を使用できます。

AWS Systems Manager コンソールには、管理者とエンドユーザーの両方に向けたすべての Session Manager 機能へのアクセスが含まれています。セッションに関連するタスクは、すべて Systems Manager コンソールを使用して実行できます。

Amazon EC2 コンソールは、エンドユーザーがセッションアクセス許可を付与されている EC2 インスタンスに接続できるようにします。

AWS CLI には、エンドユーザー向けの Session Manager 機能へのアクセスが含まれています。AWS CLI を使用すると、セッションを開始したり、セッションのリストを表示したり、セッションを完全に終了させることができます。

IAM アクセスコントロール

IAM ポリシーにより、組織のどのメンバーがマネージドノードにセッションを開始できるか、およびどのノードにアクセスできるかについて管理できます。マネージドノードへの一時的なアクセス権を付与することもできます。たとえば、オンコールエンジニア (またはオンコールエンジニアのグループ) に、彼らのローテーション期間に限って本稼働サーバーへのアクセス権を与える場合があります。

ログ記録のサポート

Session Manager は、他の多くの AWS のサービスとの統合により、AWS アカウント内のセッション履歴をログに記録するためのオプションを提供します。詳細については、「セッションアクティビティのログ記録」およびセッションロギングの有効化と無効化を参照してください。

設定可能なシェルプロファイル

Session Manager には、セッション内でプリファレンスを設定するためのオプションが用意されています。これらのカスタマイズ可能なプロファイルを使用すると、シェルの設定、環境変数、作業ディレクトリ、セッション開始時の複数のコマンドの実行など、セッション内の設定をカスタマイズできます。

お客様のキーデータ暗号化のサポート

Amazon Simple Storage Service (Amazon S3) バケットに送信する、または CloudWatch Logs ロググループにストリームするセッションデータログを暗号化するように、Session Manager を設定できます。セッション中にクライアントマシンとマネージドノード間で送信されるデータをさらに暗号化するように Session Manager を設定することもできます。詳細については、「セッションロギングの有効化と無効化」および「セッション設定を構成する」を参照してください。

パブリック IP アドレスのないマネージドノード用の AWS PrivateLink サポート

また、AWS PrivateLink を使用して Systems Manager の VPC エンドポイントを設定し、セッションのセキュリティ保護を強化することができます。AWS PrivateLink は、マネージドノード、Systems Manager、Amazon EC2 と Amazon ネットワーク間すべてのネットワークトラフィックを制限します。詳細については、「Systems Manager のために VPC エンドポイントを使用して EC2 インスタンスのセキュリティを強化する」を参照してください。

トンネリング

セッションの際、セッションタイプ AWS Systems Manager (SSM) ドキュメントを使用して、クライアントマシンのローカルポートとマネージドノードのリモートポート間のトラフィック (http またはカスタムプロトコルなど) をトンネルします。

インタラクティブコマンド

セッションを使用して単一のコマンドをインタラクティブに実行するセッションタイプ SSM ドキュメントを作成します。これにより、マネージドノードでユーザーができる操作を管理する手段が得られます。