AWS System Managerセッションマネージャーでポートフォワードする

quiver

2019.09.22

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

AWS System Managerセッションマネージャーを利用し、SSM エージェントのインストール先インスタンスからローカルに対してポートフォワードする手順を紹介します。

ユースケース

リモートの Windows サーバーにリモートデスクトップ(RDP)でアクセスするケースを考えます。

本機能を利用することで、以下のようなメリットがあります。

リモート VPC のセキュリティグループで RDP ポートを開けなくてよい
RDP ポート(3389)のアウトバウンド通信が許可されていなくても、セッションマネージャーが利用するHTTPS(443) ポートだけで RDP 可能
プライベートサブネットのサーバーに対して、踏み台を経由せずに直接 RDP 可能
リモートサーバーに SSH をインストールしなくてよい

注意点として、ポートフォワード出来るのは、リモートサーバー内で LISTEN しているポートのみです(SSH ポートフォワードで言うところの$ ssh -L 9999:localhost:80 user@SERVER)。

リモートサーバーからアクセス可能な別サーバーのポートはフォワードできないことにご注意ください(SSH ポートフォワードで言うところの $ ssh -L 9999:MySQL:3306 user@SERVER)。例えば、EC2を踏み台にして、RDS に接続することはできません。

そのようなケースに対応するには SSH 版 Systems Manager セッションマネージャーの利用を検討ください。

AWS Systems Manager セッションマネージャーでSSH・SCPできるようになりました

コマンド体系

端的に言えば、AWS System Managerセッションマネージャー接続時と同じコマンド体系です。

違いは、ポートフォワード用ドキュメント(AWS-StartPortForwardingSession)を指定し、リモート・ローカルのポートを指定する引数が増えただけだけです。

System Managerセッションマネージャー接続コマンド

$ aws ssm start-session --target i-123

System Managerセッションマネージャーポートフォワードコマンド

$ aws ssm start-session --target i-123 \
  --document-name AWS-StartPortForwardingSession \
  --parameters '{"portNumber":["80"],"localPortNumber":["8000"]}'

セッションマネージャーの利用環境が整っていない場合、まずは次のドキュメントを元に環境を整えてください。

Getting Started with Session Manager - AWS Systems Manager

やってみた

リモートサーバーの 80 番ポートで起動する nginx にポートフォワードしてみます。

1. System Managerエージェントのアップデート

本機能を利用するには、System Managerエージェントのバージョンが 2.3.672.0 以上である必要があります。これよりも古い場合は、エージェントを最新版にアップデートしてください。

SSM を利用し、ドキュメント AWS-UpdateSSMAgent を RunCommand すればアップデートされます。

2. Session Managerプラグインのアップデート

本機能を利用するには、Session Managerプラグインのバージョンが 1.1.26.0 以上である必要があります。

これよりも古い場合は、プラグインを最新版にアップデートしてください。

# アップデート
$ curl "https://s3.amazonaws.com/session-manager-downloads/plugin/latest/mac/sessionmanager-bundle.zip" -o "sessionmanager-bundle.zip"
$ unzip sessionmanager-bundle.zip
$ sudo ./sessionmanager-bundle/install \
  -i /usr/local/sessionmanagerplugin \
  -b /usr/local/bin/session-manager-plugin
 
# バージョンチェック
$ session-manager-plugin --version
1.1.31.0

3. ポートフォワード

セッションマネージャーでポートフォワードするには

ポートフォワード用ドキュメント(AWS-StartPortForwardingSession)を指定し、リモート・ローカルのポートを指定するだけです。

$ aws ssm start-session --target $INSTANCE_ID \
  --document-name AWS-StartPortForwardingSession \
  --parameters '{"portNumber":["80"],"localPortNumber":["8000"]}'

Starting session with SessionId: botocore-session-1569008417-05521c0a55edb2d55
Port 8000 opened for sessionId botocore-session-1569008417-05521c0a55edb2d55.

localPortNumber を省略すると、自動で空いているポートが割り振られます。

$ aws ssm start-session --target $INSTANCE_ID \
  --document-name AWS-StartPortForwardingSession \
  --parameters '{"portNumber":["80"]}'

Starting session with SessionId: botocore-session-1569064990-098c3a6376b82743c
Port 51959 opened for sessionId botocore-session-1569064990-098c3a6376b82743c.

このケースだと51959 です。

リモートのポート番号(portNumber)を省略すると、80番ポートが利用されます。

4. 接続確認

別ターミナルで、ローカルポートに対してアクセスしてみます。

$ curl -I localhost:51959
HTTP/1.1 200 OK
Server: nginx/1.12.2
Date: Sat, 21 Sep 2019 11:23:27 GMT
Content-Type: text/html
Content-Length: 3520
Last-Modified: Wed, 28 Aug 2019 19:52:13 GMT
Connection: keep-alive
ETag: "5d66db6d-dc0"
Accept-Ranges: bytes

確かに、ポートフォワードされていますね。

ポートフォワードアクティヴィティを監視

本機能を利用すると、意図的に特定ポートの通信を塞ぐようにネットワーク設計した環境において、利用者がその制約を回避できてしまう可能性があります。

SSMエージェントや素のセッションマネージャーは、運用面のメリットから許容するとして、過度なポートフォワードの利用には監視の目を光らせたい場合は、CloudTrail を有効化し

CloudWatch Events を使って StartSession の API 呼び出しをリアルタイム監視
Athena を使って CloudTrail ログから StartSession の API 呼び出しをバッチ監視

してください。

SSM:StartSession すると CloudTrail には以下の様なログが残ります。

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "...",
        "arn": "arn:aws:sts::1234:assumed-role/...",
        "accountId": "1234",
        "accessKeyId": "...",
        "sessionContext": {
            ...
        }
    },
    "eventTime": "2019-09-21T11:28:18Z",
    "eventSource": "ssm.amazonaws.com",
    "eventName": "StartSession",
    "awsRegion": "eu-central-1",
    "sourceIPAddress": "1.2.3.4",
    ...
    "requestParameters": {
        "target": "i-1234",
        "documentName": "AWS-StartPortForwardingSession",
        "parameters": {
            "localPortNumber": [
                "8000"
            ],
            "portNumber": [
                "80"
            ]
    },
    "responseElements": {
        ...
    },
    "requestID": "...",
    "eventID": "...",
    "resources": [
        {
            "accountId": "1234",
            "ARN": "arn:aws:ec2:eu-central-1:1234:instance/i-1234"
        },
        {
            "accountId": "1234",
            "ARN": "arn:aws:ssm:eu-central-1::document/AWS-StartPortForwardingSession"
        }
    ],
    "eventType": "AwsApiCall",
    "recipientAccountId": "1234"
}

ドキュメント AWS-StartPortForwardingSession の仕様を確認

PortNumber(フォワードされるリモートサーバーのポート)
localPortNumber(フォワード先のローカルサーバーのポート)

が定義されているだけです。

{
  "schemaVersion": "1.0",
  "description": "Document to start port forwarding session over Session Manager",
  "sessionType": "Port",
  "parameters": {
    "portNumber": {
      "type": "String",
      "description": "(Optional) Port number of the server on the instance",
      "allowedPattern": "^([1-9]|[1-9][0-9]{1,3}|[1-5][0-9]{4}|6[0-4][0-9]{3}|65[0-4][0-9]{2}|655[0-2][0-9]|6553[0-5])$",
      "default": "80"
    },
    "localPortNumber": {
      "type": "String",
      "description": "(Optional) Port number on local machine to forward traffic to. An open port is chosen at run-time if not provided",
      "allowedPattern": "^([0-9]|[1-9][0-9]{1,3}|[1-5][0-9]{4}|6[0-4][0-9]{3}|65[0-4][0-9]{2}|655[0-2][0-9]|6553[0-5])$",
      "default": "0"
    }
  },
  "properties": {
    "portNumber": "{{ portNumber }}",
    "type": "LocalPortForwarding",
    "localPortNumber": "{{ localPortNumber }}"
  }
}