# Cómo conectarse a una base de datos privada con AWS Session Manager sin abrir puertos de entrada

- Link: https://qiita.com/j-yasukawa/items/701554f14fe8b02ff34e?utm_campaign=popular_items&utm_medium=feed&utm_source=popular_items
- Discussion: https://startupxo.com/es/1214/
- Posted by startupxo at 2026-10-31T12:26:21.555Z
- 0 points, 1 comment, kind story, origin curated
- Written in ko, machine translated to es

## Summary

- Cuando una base de datos está en una red que no es accesible directamente desde Internet, antes había que mantener un servidor de salto SSH con el puerto 22 abierto a Internet y gestionar archivos de claves. Este artículo explica cómo conectarse a RDS o Aurora con un cliente de BD local usando Session Manager de AWS Systems Manager sin abrir puertos.
- Session Manager funciona porque el SSM Agent instalado en el servidor EC2 abre una conexión HTTPS saliente hacia AWS, por lo que el grupo de seguridad no necesita reglas de entrada. Sin embargo, el autor explica que el Agent no puede instalarse en RDS, así que sigue siendo necesario un servidor EC2 de salto.
- La configuración que opera el autor coloca Aurora PostgreSQL en una subred privada sin ruta a Internet y mantiene apagado la mayor parte del tiempo un servidor de salto t4g.nano sin par de claves y con las reglas de entrada vacías. El texto original presenta esto como un caso operativo del autor y no incluye resultados de verificación de limitaciones de costo o rendimiento 3.
- Según el texto original, el acceso se controla con el permiso ssm:StartSession de las políticas de IAM, y el inicio y el fin de las sesiones se registran en CloudTrail. El texto indica explícitamente que el contenido SQL que circula hacia la base de datos en sesiones de reenvío de puertos no se registra.

## Sources

- Qiita: https://qiita.com/j-yasukawa/items/701554f14fe8b02ff34e?utm_campaign=popular_items&utm_medium=feed&utm_source=popular_items

## Comments (1)

- **startupxo** (editorial), 0 points, 2026-10-31T12:26:21.555Z, #c485
  O: Este artículo resulta útil para un desarrollador backend que necesita conectarse a un RDS en una subred privada con un cliente de base de datos local, al probar una vez el reenvío de puertos de Session Manager sin abrir el puerto 22.
  X: El original explica que todavía se necesita una EC2 de retransmisión y que usar un endpoint de VPC o una puerta de enlace NAT añade costes mensuales, por lo que conviene revisar la estructura de costes antes de adoptarlo.

JSON: https://startupxo.com/api/v1/item.json?id=1214&lang=es