AWS CLI SSMセッションマネージャーを使ったVPC内サーバー接続設計｜踏み台不要の安全なアクセス経路

この記事のポイント

・aws ssm start-sessionコマンドで踏み台なしにプライベートEC2へ接続できる
・ポートフォワーディングでプライベートサブネット内のRDS・Redisへも到達できる
・~/.ssh/configのProxyCommand設定でSSHワークフローをそのまま流用できる
・VPCエンドポイント3本でインターネット非公開のままSSMが動作する

# インスタンスに付与されているIAMロールを確認する
aws ec2 describe-instances   --instance-ids i-0123456789abcdef0   --query "Reservations[0].Instances[0].IamInstanceProfile.Arn"   --output text

arn:aws:iam::123456789012:instance-profile/ssm-managed-role

# ロールに付与されているポリシーを確認する
aws iam list-attached-role-policies --role-name ssm-managed-role   --query "AttachedPolicies[*].PolicyName" --output table

--------------------------------------------
|       ListAttachedRolePolicies           |
+------------------------------------------+
|  AmazonSSMManagedInstanceCore            |
+------------------------------------------+

# SSM管理対象インスタンスの状態を一覧表示する
aws ssm describe-instance-information   --query "InstanceInformationList[*].[InstanceId,PingStatus,PlatformName,AgentVersion]"   --output table

-------------------------------------------------------------------------------------
|                       DescribeInstanceInformation                                |
+---------------------+---------+---------------------------+---------------------+
|  i-0123456789abcdef0 | Online  | Amazon Linux 2023         | 3.3.987.0           |
|  i-0abcdef123456789 | Online  | Red Hat Enterprise Linux 9 | 3.3.987.0           |
+---------------------+---------+---------------------------+---------------------+

# EC2上でSSM Agentのステータスを確認する（コンソールアクセスが可能な場合）
sudo systemctl status amazon-ssm-agent

* amazon-ssm-agent.service - amazon-ssm-agent
   Loaded: loaded (/usr/lib/systemd/system/amazon-ssm-agent.service; enabled)
   Active: active (running) since Thu 2026-10-09 10:15:43 UTC; 1h 23min ago

# Session Manager Pluginのバージョン確認
session-manager-plugin --version
1.2.553.0

# EC2インスタンスへ接続する（インスタンスIDを指定）
aws ssm start-session --target i-0123456789abcdef0

Starting session with SessionId: tomohiro.miyazaki-0ab1c2d3e4f5a6b7c
sh-5.2$ whoami
ssm-user
sh-5.2$ hostname
ip-10-0-1-55
sh-5.2$ sudo -i
[root@ip-10-0-1-55 ~]# id
uid=0(root) gid=0(root) groups=0(root)
[root@ip-10-0-1-55 ~]# exit
sh-5.2$ exit
exit

Exiting session with sessionId: tomohiro.miyazaki-0ab1c2d3e4f5a6b7c.

# リージョンを明示して東京リージョンのインスタンスへ接続する
aws ssm start-session   --target i-0123456789abcdef0   --region ap-northeast-1

# ローカルの13306番ポート → EC2経由でRDSの3306番ポートへ転送する
aws ssm start-session   --target i-0123456789abcdef0   --document-name AWS-StartPortForwardingSessionToRemoteHost   --parameters '{
    "host":["mydb.cluster-abcdef123456.ap-northeast-1.rds.amazonaws.com"],
    "portNumber":["3306"],
    "localPortNumber":["13306"]
  }'

Starting session with SessionId: tomohiro.miyazaki-0ab1c2d3e4f5a6b7c
Port 13306 opened for sessionId tomohiro.miyazaki-0ab1c2d3e4f5a6b7c.
Waiting for connections...

Connection accepted for session tomohiro.miyazaki-0ab1c2d3e4f5a6b7c

# 別のターミナルでMySQLクライアントから接続する
mysql -h 127.0.0.1 -P 13306 -u admin -p

Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 4421
Server version: 8.0.35 Source distribution

# EC2の8080番ポートをローカルの18080番に転送する
aws ssm start-session   --target i-0123456789abcdef0   --document-name AWS-StartPortForwardingSession   --parameters '{"portNumber":["8080"],"localPortNumber":["18080"]}'

# ~/.ssh/config に以下を追記する
Host i-* mi-*
  User ec2-user
  IdentityFile ~/.ssh/my-ec2-key.pem
  ProxyCommand sh -c "aws ssm start-session     --target %h     --document-name AWS-StartSSHSession     --parameters 'portNumber=%p'"

# インスタンスIDをホスト名に指定してSSH接続する
ssh i-0123456789abcdef0

Last login: Thu Oct  9 10:30:22 2026 from 127.0.0.1

       __|  __|_  )
       _|  (     /   Amazon Linux 2023
      ___|\__|___|

https://aws.amazon.com/linux/amazon-linux-2023
[ec2-user@ip-10-0-1-55 ~]$

REGION="ap-northeast-1"
VPC_ID="vpc-0abc1234def56789"
SUBNET_ID="subnet-0abc1234def56789"
SG_ID="sg-0abc1234def56789"

for SERVICE in ssm ssmmessages ec2messages; do
  aws ec2 create-vpc-endpoint     --vpc-id      --service-name com.amazonaws..     --vpc-endpoint-type Interface     --subnet-ids      --security-group-ids      --private-dns-enabled     --region 
  echo " endpoint created"
done

ssm endpoint created
ssmmessages endpoint created
ec2messages endpoint created

# エンドポイント用SGにVPC CIDRからのTCP 443番を許可する
aws ec2 authorize-security-group-ingress   --group-id    --protocol tcp   --port 443   --cidr 10.0.0.0/16

# エラーメッセージの例
An error occurred (TargetNotConnected) when calling the StartSession operation:
i-0123456789abcdef0 is not connected.

# Amazon Linux 2023 / RHEL9系でのSession Manager Pluginインストール
curl "https://s3.amazonaws.com/session-manager-downloads/plugin/latest/linux_64bit/session-manager-plugin.rpm"   -o /tmp/session-manager-plugin.rpm
sudo dnf install -y /tmp/session-manager-plugin.rpm

# バージョン確認
session-manager-plugin --version
1.2.553.0