[アップデート]パブリック IP アドレスなしで、EC2インスタンスにSSH接続できる EC2 Instance Connect Endpointがリリースしました

はじめに

EC2 Instance Connect Endpoint (以降 EIC エンドポイント) を使用すると、パブリック IP アドレスを使用せずに プライベート サブネット内のEC2インスタンスに SSH および RDP 接続できるようになりました。

以前は、プライベートサブネット内のインスタンスにSSHまたはRDP接続をするためには、踏み台サーバーを作成する必要がありました。

しかし、踏み台サーバーを使用すると、パッチ適用、管理、監査などの追加の運用オーバーヘッドとコストが発生します。

最近はセッションマネージャーで接続することが増えてきましたが、他の選択肢として、EIC エンドポイントを使用することで、運用オーバーヘッドなしでEC2インスタンスに接続できるようになります。

EIC エンドポイントは、AWS IAMベースでアクセスを制限したり、セキュリティグループなどで制御可能です。

AWS CloudTrail 経由ですべての接続の監査を提供し、セキュリティ体制の向上も可能です

セッションマネージャーとの違いは、以下の記事にまとめました

構成図

EIC エンドポイントでEC2に接続する構成図は以下の通りです

EC2 Instance Connectエンドポイントサービスは、ユーザー側で作成などはする必要がありません。AWS側で管理されています。

事前準備

• プライベートサブネット上にEC2を起動しておく
  • EC2は、Amazon Linux 2023

セキュリティグループを作成

EICのエンドポイントのセキュリティグループとEC2のセキュリティグループを以下の通りに作成します。

EC2のセキュリティグループは、EICのエンドポイントのセキュリティグループを許可するのみです。

EICのエンドポイントのセキュリティグループ

EC2のセキュリティグループ

EIC エンドポイント作成

EIC エンドポイントを作成します。

VPCエンドポイントの作成から、サービスカテゴリでEC2 Instance Connect Endpointを選択します。

サブネットは、プライベートサブネットを選択します。

Preserve Client IPには、チェックを入れずに、エンドポイントを作成します

Preserve Client IPとは

Preserve Client IP チェックをいれると、EIC エンドポイントは、ユーザーのクライアントIPを保持できます。

• クライアントIPを保持すると、EC2に接続時、ユーザーのクライアントの IP アドレスがソースとして使用されます
• クライアントIPを保持しない場合、EC2に接続時、プライベートサブネットにあるEC2 Instance Connect エンドポイントのElastic Network Interface IP アドレスがソースとして使用されます。

EC2に接続

それでは、EIC エンドポイント経由でEC2に接続します。

EC2の[接続]に遷移します

接続タイプは、EC2 Instance Connect エンドポイントを使用して接続する、エンドポイントは先程作成したエンドポイントを選択し、接続します

接続できました！

AWS CLIの場合

AWS CLIの場合、aws ec2-instance-connect sshコマンドで接続できます。

今回は、CloudShell内で実行しました。

CLIのバージョンは、 最新のCLI v2(Ver.2.12.1)で試しました。

CloudShellの場合、下記コマンドで、CLIをアップデートできます。

$ curl -s "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
$ unzip -q awscliv2.zip
$ sudo ./aws/install --update
$ aws --version
aws-cli/2.12.1 Python/3.11.3 Linux/4.14.255-314-253.539.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off

下記コマンドで、接続できます。

$ aws ec2-instance-connect ssh --instance-id i-xxxxxxxxxx \
--eice-options maxTunnelDuration=3600,endpointId=eice-xxxxxxxxxxx \
--os-user ec2-user


The authenticity of host '10.0.0.x' (<no hostip for proxy command>)' can't be established.
ECDSA key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.
ECDSA key fingerprint is MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '10.0.0.x' (ECDSA) to the list of known hosts.
   ,     #_
   ~\_  ####_        Amazon Linux 2023
  ~~  \_#####\
  ~~     \###|
  ~~       \#/ ___   https://aws.amazon.com/linux/amazon-linux-2023
   ~~       V~' '->
    ~~~         /
      ~~._.   _/
         _/ _/
       _/m/'
[ec2-user@ip-10-0-3-170 ~]$

aws ec2-instance-connect sshコマンドの詳細は、以下をご参照ください

制限

EIC エンドポイントの作成する数には、以下の制限があります

• AWSアカウントごとに5 つのEIC エンドポイント
• VPCごとに1つのEIC エンドポイント
• サブネットごとに1つのEIC エンドポイント

１つのVPCに１つしかEIC エンドポイントを作成できません。

２つ目を作成しようとするとエラーが出ます。

料金

EIC エンドポイントの使用に追加料金はかかりません！

標準のデータ転送料金は適用されます。

最後に

従来、プライベートサブネットにあるEC2は、踏み台サーバーを設置するか、セッションマネージャーなどでアクセスする方法がありましたが、新たな選択肢として、EIC エンドポイントが増えました。

EIC エンドポイントには、IAMベースでのアクセス制御や接続のログも記録できるということで、色々触ってみたいと思います！

参考