Systems Manager AgentがインストールされたPCを紛失した時の対策を考えてみた

2026/10/27 JAWS-UG朝会 #86 登壇資料

Transcript

1. Systems Manager AgentがインストールされたPCを 紛失した時の対策を考えてみた 2026/10/27 JAWS-UG朝会 #86
2. 自己紹介 藤田 直幸 X：@amarelo_n24 ・AWS Community Builders(Security) ・JAWS-UG 彩の国埼玉支部 運営 ・コーヒー焙煎人兼エンジニア ・おひとり様BuilderCards Player 好きなAWSサービス：IAM、S3、CloudShell 好きなこと：コーヒー豆の焙煎 好きなコーヒーミル： TIMEMORE S3 Coffee Grinder
3. はじめに 先日、PCにSystems Manager Agent（SSM Agent）とCloudWatch Agentをインス トールした記事を書きました。記事内でも「PC紛失のリスクは残る」と書きました ので、本当にPCを無くしたり盗まれたりした時の対策を考えてみました。 ▪Qiita記事 https://qiita.com/amarelo_n24/items/ba3c5361f72c9f0b820c
4. おことわり ・今回試した結果は、私個人のAWSアカウントとPCで試した結果です。 ・個人の見解であり、所属組織等を代表するものではありません。 ・本資料は、2026/10/25現在の情報で作成したものです。 ・本登壇に関する記事を、2026/10/27に公開しました。 こちらも合わせてご覧ください。 https://qiita.com/amarelo_n24/items/c5e1c8761a78063ea6a1
5. アジェンダ １．PC紛失時に考えられるリスク ２．PC紛失に気づいたら実施すること ３．予防的処置 ４．まとめ
6. １．PC紛失時に考えられるリスク リスク 一時認証情報の悪用 対策 PC内に保管されている一時認証を読み取っ IAMロールの無効化 て、意図しないAWSリソースの操作（大量リソー ス作成による高額請求等）をされる ハイブリッドアクティベーションのID ・ハイブリッドアクティベーションに設定した登録 ・紛失したPCをマネージドノードから除外 とコードを他のPCで悪用される 台数が一杯になっていないこと ・ハイブリッドアクティベーションに設定した登録 期限を迎えていないこと ・ハイブリッドアクティベーションのIDとコードが PCローカルに保存されていること の３つの条件を満たしている場合のみ ・ハイブリッドアクティベーションの削除
7. ハイブリッドアクティベーション EC2以外のマシンをSystems Managerの管理配下に登録する機能。 IAMロールを付与して一時認証情報と権限を与える機能。 SSM Agent に設定するコードとIDが発行される。 •サポートしているマシンタイプ ・オンプレミスサーバー・PC ・AWS IoT Greengrass コアデバイス ・AWS IoT および非 AWS エッジデバイス ・他のクラウド環境内の VM を含む仮想マシン (VM)
8. ２．PC紛失に気づいたら実施すること IAMロールを無効にしてAWSリソースへの操作をできなくする。もしくは、 マネージドノードから登録解除してAWSリソースへの経路を断つ。 対策 目的 他ノードへの影響 要否 1. IAMロールを無効にする 既存一時認証情報を無効にしてAWS リソースの不正操作を防ぐ あり 必要 2. マネージドノードの登録解除 一時認証情報の更新停止 なし 必要 3. ハイブリッドアクティベーションの削除 マネージドノードの不正登録防止 あり 状況次第 4. CloudTrailで不正操作の調査 被害範囲の特定 なし 必要
9. IAMロールにすべてを拒否するIAMポリシーを適用 ハイブリッドアクティベーションにアタッチされたIAMロールに、すべてを拒否（Deny）す るIAMポリシーを適用する。 すべてを拒否するIAMポリシー { "Version": "2012-10-17", "Statement": [ { "Sid": "AllDeny", "Effect": "Deny", "Action": "*", "Resource": "*" } ] } ポリシーアタッチ aws iam attach-role-policy \ --role-name ${ROLE_NAME} \ --policy-arn ${POLICY_ARN}
10. マネージドノードの登録解除 IAMロールの無効化をして他ノードに影響を与えることを許容できない場合、または紛 失したPCが手元に戻る可能性が低い場合は、紛失したPCをマネージドノードから登 録解除して、AWSリソースへの経路を断つ。 aws ssm deregister-managed-instance \ --instance-id "mi-xxxxxxxxxx"
11. ３．予防的処置 PCを紛失することを想定して、未然に確認しておくのが望ましい。 対策 作業 目的 1. IAMロールにアタッチするIAMポリシーは最小 ・定期的にアタッチされているIAMポリ シー 権限の原則に従う を棚卸して、不要なIAMポリシー をデタッチする。 万が一PCを盗まれて悪用され ても、不正なAWSリソースへの 操作をできないようにするた め。 2. ハイブリッドアクティベーションの運用見直し 意図しないマネージドノードを登 録されないようにするため。 ・一時認証情報の更新停止、有効期限日 の見直し。
12. ４．まとめ ・SSM Agent をインストールしたPCを紛失したら、第三者がPCを操作して AWSリソースにアクセスできてしまう恐れがある。 ・個人利用とはいえ、PCや認証情報の紛失・盗難時に対応できるように、 有事の際の手順はまとめておいた方が良い。 ・IAMロールにアタッチするIAMポリシーは最小権限の原則に従う。 ・PCを外に持っていく際は、紛失・盗難には細心の注意を！