プライベートサブネットに設置したEC2インスタンスにSSH接続したい

前提

https://dev.classmethod.jp/articles/for-begginer-ssl-communication-by-aws-certificate-manager/

実現したいこと

上記記事を参考に環境構築を進めたのですが、コンソールからSSH接続しようとした際に以下のようなエラーが表示されてしまいます。

実行したコマンド

ssh ec2-user@取得したドメイン名 -i ~/.ssh/???.pem

エラー文

ssh: connect to host nazotokipiero.tk port 22: Operation timed out

EC2はプライベートサブネットに存在しているので、パブリックサブネットを経由しないと接続できないと思うのですが、その辺りの設定に関して記事内で触れていなかったので、情報をいただけると幸いです。

調べたこと

パブリックサブネットに踏み台サーバーを検討すると良い...？
コストとか膨れるんじゃないの...？
もっと手軽に接続設定はできないの...?

mike2mike4

2022/11/07 00:40

セッションマネージャー使わない理由は？

行動規範の内容に同意します

回答3件

「プライベート」という言葉の意味をもう少し考えてみましょう。
プライベートサブネットにはインターネットから直接接続することはできません。
なので、何もせず直接ローカルからプライベートサブネット内のインスタンスにSSHで接続することはできません。
多くの場合セキュリティを保つためにそのようにしています。お手軽にアクセスするためにセキュリティが疎かになっては仕方ありません。
そして残念ながらコストを増やさずに接続する手段はありません。

プライベートサブネット内のインスタンスの中に入りたいときは下記の方法が考えられます。

踏み台サーバーなど、別のサーバーを経由する

AWSじゃなくても行える方法です。普通に2回SSHしてもいいですし、以下の記事のように多段SSHの設定をしてもよいです。
踏み台サーバ経由の多段SSH接続をローカル端末の秘密鍵のみで実施する

セッションマネージャーを利用する

準備が必要ですが、準備が済んでればこれが一番楽です。ただしプライベートサブネットで使用するためにはNATを用意するかVPCエンドポイントを設定する必要があります。
設定の仕方は公式ドキュメントをご参照ください。
Session Manager のセットアップ
また、Privatelink（VPCエンドポイントの作成）のところが少々わかりづらいかもしれないので、その辺について記載している記事を貼っておきます。
プライベートサブネットに配置したEC2にAWS Systems Manager Session Managerを使ってアクセスする
それでも分かりづらければ別の記事を調べるなどしてみてください。この記事なんかは比較的わかりやすいと思います。
注意点として、多くの記事で古いIAMポリシー(AmazonEC2RoleforSSM)を使うよう書いてありますが、こちらは権限が過剰なため現在は AmazonSSMManagedInstanceCoreを使うことが推奨されています。
もちろん自分でカスタムポリシーを作成してそれを使用しても良いです。