Private SubnetのRHEL EC2インスタンスにSSM Agentをインストールする方法

トクヤマシュン

2022.10.30

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは。AWS事業本部トクヤマシュンです。

EC2インスタンスをAWS Systems Managerのマネージドインスタンスとして管理するには、SSM Agentがインストールされていることが必要です。
多くの場合、AWSが提供するAMIにはSSM Agentがプリインストールされているため、ユーザーによるインストールは不要です。
参考：SSM Agent がプリインストールされた Amazon Machine Images (AMIs)

ただしRHEL(RedHat Enterprise Linux)などのように、SSM AgentがインストールされていないAMIからインスタンスを起動する場合には、インストールが必要です。
今回はインターネット接続のないPrivate Subnetに配置したRHEL EC2インスタンスに対し、SSM Agentをインストールする機会がありましたので、手順を紹介したいと思います。

ポイント

構築に先駆け、いくつかのポイントをお伝えします。

Amazon S3に接続するためのVPC Endpointが必要
- Amazon S3に配置されているSSM AgentのRPMパッケージをインストールするため
インストール時のSSM AgentパッケージのURLはPrivate Networkと同一リージョンのものを指定
- VPC Endpoint経由でAmazon S3にアクセスする場合、同一リージョンに限られるため
RHEL8ではインストール時に--disablerepo="*"オプションをつけて、リポジトリを無効化
- オプション無しだと、リポジトリへのアクセスがはたらいて接続できずタイムアウトし、インストールが失敗するため

今回の構成

下図の構成でPrivate SubnetにRHEL8 EC2インスタンスを構築してSSM Agentをインストールし、Session Managerで接続してみます。

VPCエンドポイントは次のものを準備します。

S3接続用のエンドポイント
- エンドポイントサービス名
  - com.amazonaws.ap-northeast-1.s3
- 用途
  - AWSが提供している、SSM AgentのRPMファイルが保存されているS3バケットにアクセスするため
Systems Manager接続用のエンドポイント
- エンドポイントサービス名
  - com.amazonaws.ap-northeast-1.ssm
  - com.amazonaws.ap-northeast-1.ssmmessages
  - com.amazonaws.ap-northeast-1.ec2messages
- 用途
  - マネージドインスタンスからSession Managerに接続するため

今回VPCは準備できているものとし、EC2インスタンス構築からはじめていきます。

EC2構築

マネジメントコンソールからEC2インスタンス作成を行ないます。
SSM Agentのインストールはユーザーデータを利用し、EC2インスタンス起動時に自動で行うものとします。

登録するユーザーデータ(RHEL8の場合)

今回RHEL8のインスタンスを作成するため、下記のスクリプトをユーザーデータに登録します。

#!/bin/bash
cd /tmp
sudo dnf --disablerepo="*" install -y https://s3.ap-northeast-1.amazonaws.com/amazon-ssm-ap-northeast-1/latest/linux_amd64/amazon-ssm-agent.rpm
sudo systemctl enable amazon-ssm-agent
sudo systemctl start amazon-ssm-agent

スクリプトは次のAWSドキュメントをベースとしています。
起動時に Amazon EC2 Linux インスタンスに AWS Systems Manager Agent (SSM Agent) をインストールする方法を教えてください。

ただし、インターネット接続環境がないPrivate Subnetにインスタンスを起動するため、下記2点の変更を行なっています。

インストール時のSSM AgentパッケージのURLをap-northeast-1のものに変更
- S3 VPC Endpoint経由でアクセスするため
- パッケージはAWSが提供している
インストール時に--disablerepo="*"オプションをつけて、リポジトリを無効化
- オプション無しだと、リポジトリへのアクセスがはたらいて接続できずタイムアウトし、インストールが失敗するため

参考：登録するユーザーデータ(RHEL7の場合)

参考までに、RHEL7のインスタンスを作成する場合のスクリプトも記載しておきます。

#!/bin/bash
cd /tmp
sudo yum install -y https://s3.ap-northeast-1.amazonaws.com/amazon-ssm-ap-northeast-1/latest/linux_amd64/amazon-ssm-agent.rpm
sudo systemctl enable amazon-ssm-agent
sudo systemctl start amazon-ssm-agent

RHEL7でyumを利用してインストールする場合には、--disablerepo="*"オプションは不要でした。