オンプレミス環境にCloudWatch Agentを導入するならばSystemsManager Agentも一緒に導入しよう

2026/10/21 JAWS-UG東京 ランチタイムLT会 #40 登壇資料

Transcript

1. オンプレミス環境にCloudWatch Agentを導入するならば SystemsManager Agentも一緒に導入しよう 2026/10/21 JAWS-UG東京 ランチタイムLT会 #40
2. 自己紹介 藤田 直幸 X：@amarelo_n24 ・AWS Community Builders(Security) ・JAWS-UG 彩の国埼玉支部 運営 ・コーヒー焙煎人兼エンジニア ・おひとり様BuilderCards Player 好きなAWSサービス：IAM、S3、CloudShell 好きなこと：コーヒー豆の焙煎 好きなコーヒーミル： TIMEMORE S3 Coffee Grinder
3. アジェンダ １．事の発端 ２．マネージドノードの一時認証利用 ３．残存リスクと注意点 ４．まとめ
4. おことわり ・今回試した結果は、私個人のAWSアカウントで試した結果です。 ・個人の見解であり、所属組織等を代表するものではありません。 ・本資料は、2026/10/19現在の情報で作成したものです。 ・SSM Agent、CloudWatch Agentの詳細なインストール手順に ついての説明は割愛します。
5. １．事の発端
6. Windows10だったPCをLinux（Ubuntu）化した Windows10だったPCをLinux（Ubuntu）化したので、Systems ManagerとCloudWatchの 勉強も兼ねてPC管理環境作ってみよう！そのためには、 SSM AgentとCloudWatch Agentをインストールする必要がある。
7. 懸念点と解決策 ▪懸念点 CloudWatch Agentの認証情報に、IAMユーザーのアクセスキーおよびシークレットキーを指 定する手順が載っている（※）。アクセスキーの漏洩と悪用の恐れがある。 ※オンプレミスサーバーに CloudWatch エージェントをインストールする https://docs.aws.amazon.com/ja_jp/AmazonCloudWatch/latest/monitoring/install-CloudWatch-Agent-on-premise.html ▪解決策 SSM Agentの一時認証情報を使えば、アクセスキーを作成せずにCloudWatch Agentの認証 設定も可能！
8. ２．マネージドノードの一時認証利用
9. ハイブリッドアクティベーション EC2以外のマシンをSystems Managerの管理配下に登録する機能。 IAMロールを付与して一時認証情報と権限を与える機能。 SSM Agent に設定するコードとIDが発行される。 •サポートしているマシンタイプ ・オンプレミスサーバー・PC ・AWS IoT Greengrass コアデバイス ・AWS IoT および非 AWS エッジデバイス ・他のクラウド環境内の VM を含む仮想マシン (VM)
10. Systems Managerの管理配下に登録 SSM Agentインストール時にハイブリッドアクティベーションを設定したら、SSMはマ ネージドノードとして登録する。 AmazonSSMManagedInstanceCore を付与
11. マネージドノードに権限を与える SSMはハイブリッドアクティベーションに設定したIAMロールのポリシーを、SSM Agent （マネージドノード）に払いだす。 マネージドノードにAWS環境への一時認証と権限を与える。
12. IAMロールにIAMポリシーを追加 IAMロールにCloudWatch Agent がメトリクスやログを送るためのポリシー （CloudWatchAgentServerPolicy）を追加すれば、 アクセスキーの作成と、端末側のキー管理は不要になる。 CloudWatchAgentServerPolicy を追 加
13. CloudWatch Agentのインストールと設定 CloudWatch Agentをインストール後、設定情報を持つtomlファイル内の[credentials]欄に記載 のクレデンシャルプロファイルとクレデンシャルファイルを 変更する。 ※tomlの場所: /opt/aws/amazon-cloudwatch-agent/etc/common-config.toml ※非EC2インスタンスの場合 SSM Agent の認証情報は /root/.aws/credentials に保管されます。 [credentials] shared_credential_profile = "default" shared_credential_file = "/root/.aws/credentials" /root/.aws/config に、使用するCloudWatchのリージョンを追記する。 [default] region = ap-northeast-1
14. メトリクスやログが送信されていることを確認 CloudWatch Agentインストール時に設定した、送信対象メトリクスとログが 送信されていることを確認できれば、完了。
15. ３．残存リスクと注意点
16. 端末管理と設定する認可の管理は必須 ▪残存リスク ・端末そのものの認証情報漏洩 ・端末の盗難（PCの場合） ・意図しない端末にSSM Agentをインストールされることによる不正アクセス ▪対策 ・IAMロールにアタッチするIAMポリシーは最小権限の原則に従う ・ハイブリッドアクティベーションの登録台数を最小限にし、有効期限を短くする。 ・端末の盗難防止 ・端末の認証情報管理、サイバー攻撃対策
17. ４．まとめ
18. まとめ ・アクセスキーとシークレットアクセスキーの作成及び管理を無くすため、 PCやサーバにCloudWatch Agentをインストールする際は、 SSM Agent もインストールして一時認証情報を活用しましょう。 ・IAMロールに付与するIAMポリシーは最小権限の原則に従いましょう。 ・ハイブリッドアクティベーションの登録可能台数と有効期限を最小限に して、速やかにインストールしましょう。 ・端末紛失対策、端末のアカウント管理も怠らないようにしましょう。
19. Qiita記事と参考情報 ▪Qiita記事（本登壇タイトルと同じ） https://qiita.com/amarelo_n24/items/ba3c5361f72c9f0b820c ▪参考 AWS Systems Manager ハイブリッドアクティベーション https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/activations.html AWS Systems Manager - Hybrid Activations 編（BlackBelt資料） https://pages.awscloud.com/rs/112-TZM-766/images/AWS-Black-Belt_2023_AWS-SystemsManager-Hybrid-Activations_0602_v 1.pdf オンプレミスサーバーに CloudWatch エージェントをインストールする https://docs.aws.amazon.com/ja_jp/AmazonCloudWatch/latest/monitoring/install-CloudWatch-Agent-on-premise.html