RDSにSSHポートフォワーディングを利用して接続してみた

阿部洸樹

2017.04.20

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

PCからAmazon RDSにbastionのSSHポートフォワーディングを利用して接続してみました。

構成を説明します。
Frontendサブネットにbastion（踏み台インスタンス）を配置します。
Frontendはルートテーブルにインターネットゲートウェイへのエントリがあるパブリックサブネットです。

DatastoreサブネットにMySQLのRDSインスタンスを配置します。
Datastoreはインターネットに接続できないプライベートサブネットです。

本構成にはセキュリティ面のメリットがあります。
RDSに接続するためには、RDSのユーザーとパスワードに加えて、bastionの秘密鍵が必要です。
また、不要な時はbastionを停止しRDSへの接続を制限出来ます。

bastionでポートフォワーディングを有効化します。
/etc/ssh/sshd_configを開き、以下のように変更します。
変更後、sshdを再起動し反映します。

bastionとRDSのセキュリティグループに許可を追加します。

SSHの許可を追加します。
なるべく自拠点のみ許可するようにします。

タイプ	プロトコル	ポート範囲	送信元
SSH	TCP	22	自拠点IPアドレス

RDSでは、bastionからの接続を許可します。
MySQLの場合は3306を許可します。

タイプ	プロトコル	ポート範囲	送信元
MYSQL/Aurora	TCP	3306	bastionのセキュリティグループ

PCからbastionにSSHポートフォワーディングで接続します。

Macでは、sshコマンドを使って接続してみました。

$ sudo ssh -L 3306:RDSのエンドポイント:3306 ec2-user@bastionのグローバルIPアドレス -i ec2のキーペア

Tera Termで試してみました。
以下手順でポートフォワーディング出来ます。

MySQLクライアントでは、127.0.0.1を指定し接続します。 Sequel Proで接続確認しました。

PCからRDSにbastionサーバのSSHポートフォワーディングを利用して接続してみました。
PCからRDSに接続する要件がでた場合は、ご検討ください。
bastionは利用しない時に停止しておくことで、接続を制限できるほか、bastionの課金を抑えることが出来ます。