Fleet ManagerをKMS暗号化を有効化して使う

AWS re:Invent 2020

#AWS Systems Manager（SSM）

阿部洸樹

2021.01.04

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Systems Managerの機能であるFleet Managerを使うと、EC2上のファイルシステムの情報をみたり、パフォーマンスの状態を確認できます。一部の機能はEC2とユーザー間をKMSによる暗号化をしないと使えません。暗号化を行い、ファイルのプレビューとパフォーマンスカウンターを使ってみました。

EC2を作成し、ファイルシステムをプレビューする

パブリックサブネットにAmazon Linux 2を起動し、IAMロールを付与します。IAMロールにはAmazonSSMManagedInstanceCoreポリシーを付与します。このポリシーは、AWS Systems Managerサービスコア機能を使うために必要です。

Systems Managerコンソールのフリートマネージャーを選ぶと、作成したEC2が表示されます。

ファイルシステムを選ぶと、EC2のファイルシステムを確認できます。

ファイルの内容を表示することもできます。例えば、/var/log/messagesを選びアクション＞テキストとしてプレビューできますが、特に設定をしていない状況では、エラーが発生しプレビューできません。セッション設定でKMS暗号を有効化します。

セッション設定でKMS暗号を有効化する

セッションマネージャー＞設定を見ると、KMS暗号が無効になっています。

今回はKMSを作成しました。キーのタイプは対称。キーマテリアルオリジンはKMS。キー管理者とキーの使用アクセスはなしとしました。

作成したカスタマー管理型のキーのキーポリシーを見ると、「"AWS": "arn:aws:iam:: AccountID:root"」に権限があります。このAWSアカウント内のIAMユーザーとIAMロールは、IAMポリシーで許可されている場合にキーを使えることになります。

KMS暗号を有効にしたら、もう一度テキストとしてプレビューを試してみると、「エラー - フリートマネージャーはセッションを開始できません。」というエラーが発生します。EC2のIAMロールにキーを使う権限がないためです。

キーを利用するためのIAMポリシーを作成する

以下をKMS-Decrypt-policyポリシーとして作成し、EC2に割り当てたIAMロールに追加しました。ResourceにはキーのARNを指定します。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "kms:Decrypt"
        ],
        "Resource": [
            "arn:aws:kms:region:AccountID:key/1234567a-1234-1234-b123-ae12345a1b23"
        ]
    }
}

messagesをプレビューすると表示されました。テールファイルを有効にすると、リアルタイムに閲覧できます。