개요

지금까지 며칠 전에 열린 JAWS DAYS 2019가 알았다SSH 없이 EC2에 연결할 수 있는 Session Manager. 현재 당사의 서비스 중 SSH 관리도 과제가 되었기 때문에 바로 시도해 보았습니다.
　
언제, 누구, 무엇을 했는지는 로그(실행 결과 포함)에 저장되기 때문에 문제가 발생할 때도 추적할 수 있습니다!
설정 자체가 간단하기 때문에 어떤 물건인지 꼭 해보고 싶은 사람은 꼭 해보세요!
※ 다음 단계는 새 인스턴스에 SSM 스크롤 막대를 추가했으며, 기존 인스턴스에 추가하려면 여기. 참조
※ 당장 시도하고 싶은 사람을 위한 콘텐츠이기 때문에 권한 설정 등이 천차만별이라는 점에 유의하세요!

절차.

역할 작성

"IAM"- "롤러"- "롤러 제작"

AWS 서비스 - EC2 역할 선택

정책에서 "AmazonEC2 RoleforSSM"선택
권한을 제한하려면 정책 작성에서

에 라벨이나 볼륨 이름을 더해서 제작

EC2 제작

Session Manager에서 제어하려면 EC2ssm-agent를 설치해야 합니다.최신 Amazon Linux2 AMI라면 처음부터 들어갑니다

새 인스턴스를 만들고 세부 설정에서 작성된 IAM 스크롤을 선택하면 OK!

Session Manager

서비스 Systems Manager - 세션 관리자 - 세션 시작
※ 실행 중인 세션이 있으면 세션 관리자 일람에 표시

위에서 생성한 EC2 인스턴스를 선택하고 세션 시작 을 선택합니다.

터미널에서 새 탭으로 이동(동작이 좀 질질 끌림)
연결 사용자는 ssm-user이지만 sudo를 실행할 수 있습니다
※ 참고: [소절] 새로운 기능인 Session Manager에서 사용하는 ssm-user의 권한이 궁금하다면

터미널의 "종료"를 누르면 세션이 종료되고 세션 역사가 저장됩니다
작업 로그를 S3 출력으로 설정하면 S3이 지정한 구간에서 로그 파일을 출력합니다

작업 로그(샘플)

표준 출력의 내용을 모두 로그 파일로 출력합니다
ssm-log

Script started on 2019-02-24 10:00:54+0000
[?1034hsh-4.2# /usr/bin/ssm-session-logger /var/lib/amazon/ssm/i-0ddd6efc384ff9fc9/sess 
ion/orchestration/xxxxx-xxxxxxxx/Standard_Stream/ipcTempFile.log  
false
Error occurred fetching the seelog config file path:  open /etc/amazon/ssm/seelog.xml: no such file or directory
Initializing new seelog logger
New Seelog Logger Creation Complete

sh-4.2$ ls -la

total 127096

dr-xr-xr-x  2 root root       24576 Feb 24 09:54 .

drwxr-xr-x 13 root root         155 Jan 14 18:29 ..

-rwxr-xr-x  1 root root       41344 Jul 31  2018 [

-rwxr-xr-x  1 root root      107744 Sep 12 22:17 a2p

-rwxr-xr-x  1 root root       28712 Aug  2  2018 ac

-rwxr-xr-x  1 root root       28976 Jan  3 20:00 addr2line

～中略～

-rwxr-xr-x  2 root root      189440 Jul 27  2018 zipinfo

-rwxr-xr-x  1 root root       95896 Aug  1  2018 zipnote

-rwxr-xr-x  1 root root       99968 Aug  1  2018 zipsplit

-rwxr-xr-x  1 root root        2041 Jul 27  2018 zless

-rwxr-xr-x  1 root root        2859 Jul 27  2018 zmore

-rwxr-xr-x  1 root root        5343 Jul 27  2018 znew

lrwxrwxrwx  1 root root           6 Jan 14 18:29 zsoelim -> soelim

sh-4.2$ sh-4.2# exit
exit

Script done on 2019-02-24 10:02:40+0000

주의점

SSM 연결 사용 시/var/log/ssm/ 아래에 SSM 연결 시 작업 로그가 남아 있습니다.
따라서 이 로그는 디스크 용량을 압박할 수 있으므로 로그 크기와 연결 방식을 미리 설정해야 합니다!
https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/monitoring-ssm-agent.html