Amazon EC2 Instance Connect Endpoint（EICE）でプライベートサブネットのEC2にSSHする方法｜踏み台なし・VPNなしのセキュアVPCアクセス設計

この記事のポイント

・EICEはVPCに作成するエンドポイントで踏み台・VPN不要のSSH接続を実現できる
・aws ec2-instance-connect open-tunnel をSSH ProxyCommandに指定するだけで導入できる
・接続の認可はIAMポリシーで制御し、EC2にSSMエージェントのインストールは不要
・セキュリティグループでEC2へのSSHをEICEのみに制限して最小権限を設計する

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ec2-instance-connect:OpenTunnel",
      "Resource": "arn:aws:ec2:ap-northeast-1:123456789012:instance-connect-endpoint/eice-xxxxxxxxxxxxxxxxx"
    },
    {
      "Effect": "Allow",
      "Action": "ec2-instance-connect:SendSSHPublicKey",
      "Resource": "arn:aws:ec2:ap-northeast-1:123456789012:instance/i-xxxxxxxxxxxxxxxxx"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceConnectEndpoints"
      ],
      "Resource": "*"
    }
  ]
}

# EICEに適用するセキュリティグループを作成する（EICEからEC2へのアウトバウンドSSHを許可）
aws ec2 create-security-group   --group-name eice-sg   --description "Security group for EICE endpoint"   --vpc-id vpc-xxxxxxxxxxxxxxxxx

# EICEエンドポイントを作成する（プライベートサブネットを指定）
aws ec2 create-instance-connect-endpoint   --subnet-id subnet-xxxxxxxxxxxxxxxxx   --security-group-ids sg-xxxxxxxxxxxxxxxxx   --preserve-client-ip false

aws ec2 describe-instance-connect-endpoints   --query 'InstanceConnectEndpoints[*].{ID:InstanceConnectEndpointId,State:State,Subnet:SubnetId}'   --output table

# 出力例（create-completeになれば利用可能）
------------------------------------------------------------------------------------------
|               DescribeInstanceConnectEndpoints                                         |
+--------------------------------+-----------------+---------------------------------+
|              ID                |      State      |            Subnet               |
+--------------------------------+-----------------+---------------------------------+
|  eice-0a1b2c3d4e5f6g7h8        |  create-complete|  subnet-xxxxxxxxxxxxxxxxx        |
+--------------------------------+-----------------+---------------------------------+

ssh -i ~/.ssh/my-key.pem   -o ProxyCommand='aws ec2-instance-connect open-tunnel     --instance-id i-xxxxxxxxxxxxxxxxx     --remote-port 22     --region ap-northeast-1'   ec2-user@i-xxxxxxxxxxxxxxxxx

Host private-ec2
    HostName i-xxxxxxxxxxxxxxxxx
    User ec2-user
    IdentityFile ~/.ssh/my-key.pem
    ProxyCommand aws ec2-instance-connect open-tunnel         --instance-id %h         --remote-port %p         --region ap-northeast-1

# eice経由でのSSH接続実行（踏み台サーバーなし）
$ ssh private-ec2

# 接続後のホスト情報確認（プライベートIPで到達していることを確認）
[ec2-user@ip-10-0-1-45 ~]$ hostname -I
10.0.1.45

[ec2-user@ip-10-0-1-45 ~]$ curl -s http://169.254.169.254/latest/meta-data/instance-id
i-xxxxxxxxxxxxxxxxx

[ec2-user@ip-10-0-1-45 ~]$ ip route
default via 10.0.1.1 dev eth0
10.0.1.0/24 dev eth0 proto kernel scope link src 10.0.1.45

# EC2のセキュリティグループにEICEのSGをSSH送信元として追加する
# （EC2のSGがsg-ec2-xxxx、EICEのSGがsg-eice-xxxxの場合）
aws ec2 authorize-security-group-ingress   --group-id sg-ec2-xxxx   --protocol tcp   --port 22   --source-group sg-eice-xxxx

# 設定後の確認
aws ec2 describe-security-groups   --group-ids sg-ec2-xxxx   --query 'SecurityGroups[0].IpPermissions'

# 現在のユーザーに付与されているポリシーを確認
aws iam list-attached-user-policies --user-name your-username

# EICEアクションが許可されているか模擬チェック（iam:SimulatePrincipalPolicy権限が必要）
aws iam simulate-principal-policy   --policy-source-arn arn:aws:iam::123456789012:user/your-username   --action-names "ec2-instance-connect:OpenTunnel"   --resource-arns "arn:aws:ec2:ap-northeast-1:123456789012:instance-connect-endpoint/*"

# EC2のセキュリティグループのインバウンドルールを確認する
aws ec2 describe-security-groups   --group-ids sg-ec2-xxxx   --query 'SecurityGroups[0].IpPermissions[?FromPort==`22`]'

# EICEの状態と数を確認する
aws ec2 describe-instance-connect-endpoints   --query 'InstanceConnectEndpoints[*].{ID:InstanceConnectEndpointId,State:State,Subnet:SubnetId}'   --output table

# 不要なEICEを削除する（create-failed状態のものを含む）
aws ec2 delete-instance-connect-endpoint   --instance-connect-endpoint-id eice-xxxxxxxxxxxxxxxxx