AWS EC2のアクセス制限（固定IPアドレスを持っていない場合）

Question

###前提・実現したいこと
AWSで接続制限したい。
指定したクライアント以外はAWSに設置したサーバに接続してほしくない。

###試したこと
IPアドレスで制限したが、固定IPアドレスではないので、IPアドレスが変更されると接続できなくなった。

###補足情報(言語/FW/ツール等のバージョンなど)
AWS EC2

Answer 1

クライアント証明書等を利用されてみてはいかがでしょうか。

Answer 2

セキュリティグループで接続元IPアドレスを制限しているということであれば、都度、マネージメントコンソールや API で変更するしかないと思います。

Answer 3

VPNサーバを立てるのが良いのでは？

Answer 4

SSH の接続であれば公開鍵をもってないと実際のアクセスができないようにする（セキュリティポリシーとしては SSH を全IPに対して公開）するとかですかね。

Answer 5

どこまで自動化するかで変わって来ると思いますが、AWSCLI（またはSDK）を使ってAPI経由でセキュリティグループを書き換えるのがお手軽なのでオススメです。スクリプト化しておきコマンド一発で変更できるようにすると良いでしょう。

スクリプトの例）

#!/bin/bash
if [ -f ./ip.txt ]; then
        # 登録済みの インバウンドルールを削除
        PREV_GLOBALIP=$(cat ./ip.txt)
        aws ec2 revoke-security-group-ingress --group-id sg-XXXXXXXX --protocol tcp --port 22 --cider "${PREV_GLOBALIP}/32"
fi

# グローバルIPを調べる
curl -s http://checkip.amazonaws.com/ > ./ip.txt
GLOBALIP=$(cat ./ip.txt)

# 調べたIPをインバウンドルールに追加
aws ec2 authorize-security-group-ingress --group-id sg-XXXXXXXX --protocol tcp --port 22 --cider "${GLOBALIP}/32"

備考：
・例はAWSCLIを使ったLinux用のShellスクリプトです。
・セキュリティグループのインバウンドルールを書き換えて、SSH(TCP/22)を許可してます。
・実行時に以前のルールを削除してますが、IPが変更されたときだけ消すほうがより良いでしょう