20220813_AWS-Basics_AWS-SSM-Tunnelを試してみた_公開用

Transcript

1. AWS SSM Tunnelを試してみた 2022/08/13 AWS-Basics SSM#2
2. お話すること ・ 自己紹介 ・ 以前体験したこと ・ 実際にやってみた ・ まとめ
3. 大分（22年） → 東京（11年） → 福岡（2021.11～）　 好きなAWSサービス - Organizations, CloudFormation StackSets, SSO 自己紹介 midnight480 tetsuya.shibao shibao-tetsuya https://midnight480.com/ 業務アプリ - Java - Oracle インフラ - UTM - L3/L2 Sw - 仮想化基盤 クラウド - CCoE支援 - SPP運営 情シス - MS製品 - DC巡り インフラ - クラウド - SaaS管理 - 情シス 独立系 SIer 電力系 通信事業 会社
4. 以前体験したこと ・ こんなときあなたはどういう構成を考えますか？ 　「今、あるプロジェクトでWorkspaces経由で接続、作業してもらっているんですけど、 　　作業の進捗が遅れていてプライベートサブネットにあるEC2にダイレクトアクセスできませんかね？」 - AWS環境にアクセスすることは可能 - Prd環境、マルチAZかつセキュリティグループも複雑 - ASAPで … 😇
5. 以前体験したこと ・ 当時は ELB(CLB)を使ってSSHをフォワードする形で実装しました 詳細は本筋から外れるのでこちらをご覧ください 👉　https://qiita.com/mid480/items/ef6a5af90f42d42eb66f 10022 22 CLBコストが掛かる
6. AWS CLIとは 実際にやってみた ・AWS のサービスを管理するための統合ツールです ダウンロードおよび設定用の単一のツールのみを使用して、コマンドラインから AWS の複数のサービスを制御し、ス クリプトを使用してこれらを自動化することができます https://aws.amazon.com/jp/cli/ choco install awscli Windows - Chocolatey brew install awscli macOS - Homebrew winget install awscli Windows - Winget
7. AWS SSM ポートフォワーディングを試してみる 実際にやってみた ・ターミナルソフトでAWS CLIで立ち上げてつなげてみます - Name：WindowsにRDP(TCP/3389)するためローカルの13389をポートフォワーディング instanceId=$(aws ec2 describe-instances --query "Reservations[].Instances[].InstanceId" --filter "Name=tag:Name,Values=Windows" --output text) echo $instanceId aws ssm start-session --target $instanceId --document-name AWS-StartPortForwardingSession --parameters '{"portNumber":["3389"], "localPortNumber":["13389"]}' $instanceId=$(aws ec2 describe-instances --query "Reservations[].Instances[].InstanceId" --filter "Name=tag:Name,Values=Windows" --output text) Write-output $instanceId aws ssm start-session --target $instanceId --document-name AWS-StartPortForwardingSession --parameters "portNumber=3389, localPortNumber=13389" Windows - Powershell macOS - Terminal
8. AWS SSM ポートフォワーディングを試してみる 実際にやってみた ・ターミナルソフトでAWS CLIで立ち上げてつなげてみます - Name：LinuxにSSH(TCP/22)するためローカルの10022をポートフォワーディング instanceId=$(aws ec2 describe-instances --query "Reservations[].Instances[].InstanceId" --filter "Name=tag:Name,Values=Linux" --output text) echo $instanceId aws ssm start-session --target $instanceId --document-name AWS-StartPortForwardingSession --parameters '{"portNumber":["22"], "localPortNumber":["10022"]}' $instanceId=$(aws ec2 describe-instances --query "Reservations[].Instances[].InstanceId" --filter "Name=tag:Name,Values=Linux" --output text) Write-output $instanceId aws ssm start-session --target $instanceId --document-name AWS-StartPortForwardingSession --parameters "portNumber=22, localPortNumber=10022" Windows - Powershell macOS - Terminal
9. AWS SSM ポートフォワーディングを試してみる 実際にやってみた ・便利な一方でHTTPS経由だと抜け穴となる通信ができてしまいます - 企業によっては漏洩の観点から外部のRDP/SSHはブロック、管理したいという ポリシーがあると思うので利用する場合は事前に相談しましょう 10022 13389 3389 22
10. 実際にやってみた ・TCPの通信であれば、RDPやSSH以外にもHTTPでも実現可能でした - ポートフォワードをさらにポートフォワードして混乱する（実際に試して思った）と思うので、 ご利用は計画的に 18080 8080 80 AWS SSM ポートフォワーディングを試してみる 10022 22
11. まとめ ・プライベートなインスタンスに直接アクセスできる機能は便利（利用前の相談が大事） ・今回は試しに接続するためターミナル起動中のみのトンネリングで検証、 　実際の現場ではスクリプトファイルで汎用的に利用可能（Workshopのページにもサンプルあり） ・AWS CLIは使えるようになると視野が広がってオススメ（気になる方はJAWS-UG CLI専門支部へ）