プライベートサブネットにあるEC2にEC2 Instance Connectを利用して接続する環境をAWS CDKで構築してみた

import * as cdk from 'aws-cdk-lib';
import { Construct } from 'constructs';
import * as ec2 from 'aws-cdk-lib/aws-ec2';

export class Ec2InstanceConnectStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    /**
     * VPCの作成
     */
    const vpc = new ec2.Vpc(this, 'Vpc', {
      maxAzs: 2,
      subnetConfiguration: [
        {
          cidrMask: 24,
          name: 'PrivateIsolated',
          subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
        },
      ],
    });

    /**
     * EC2インスタンス用のセキュリティグループ
     * EC2インスタンスへのSSH接続は、EC2 Instance Connect Endpoint エンドポイントのセキュリティグループからのみ許可
     */
    const instanceSg = new ec2.SecurityGroup(this, 'Ec2InstanceSg', {
      vpc,
      allowAllOutbound: false, // アウトバウンドトラフィックを制限
    });

    /**
     * EC2 Instance Connect Endpoint 用のセキュリティグループ
     */
    const eicSg = new ec2.SecurityGroup(this, 'EicEndpointSg', {
      vpc,
      allowAllOutbound: false, // アウトバウンドトラフィックを制限
    });

    // EC2 Instance Connect Endpoint エンドポイント -> EC2インスタンスへのSSH接続を許可
    eicSg.connections.allowTo(
      instanceSg,
      ec2.Port.tcp(22),
    );

    // EC2 Instance Connect Endpointの作成
    const eicEndpoint = new ec2.CfnInstanceConnectEndpoint(this, 'EicEndpoint', {
      subnetId: vpc.isolatedSubnets[0].subnetId,
      securityGroupIds: [eicSg.securityGroupId],
    });

    /**
     * EC2インスタンスの作成
     */
    const ec2Instance = new ec2.Instance(this, 'Ec2Instance', {
      vpc,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
      },
      instanceType: ec2.InstanceType.of(
        ec2.InstanceClass.T3,
        ec2.InstanceSize.MICRO
      ),
      machineImage: new ec2.AmazonLinuxImage({
        generation: ec2.AmazonLinuxGeneration.AMAZON_LINUX_2023,
      }),
      securityGroup: instanceSg,
      disableApiTermination: false, // 検証用のためインスタンスの削除を許可
    });
  }
}