インバウンドポートを開けずにAWS Session Managerでプライベートなデータベースに接続する方法(qiita.com)

- データベースがインターネットから直接届かないネットワークにある場合、従来はインターネットに22番ポートを開いたSSH中継サーバーを置き、鍵ファイルを管理する必要があった。本記事は、AWS Systems ManagerのSession Managerを使い、ポートを開けずにRDSやAuroraへローカルのDBクライアントから接続する手順をまとめる。 - Session Managerは、EC2サーバーに導入されたSSM AgentがAWS側へアウトバウンドHTTPS接続を開く仕組みのため、セキュリティグループにインバウンドルールは不要である。ただし、RDSにはAgentを導入できないため、中継用のEC2が一台は依然として必要だと著者は説明している。 - 著者の運用構成は、Aurora PostgreSQLをインターネット経路のないプライベートサブネットに置き、キーペアを持たずインバウンドルールが空のt4g.nano中継サーバーを普段は停止しておく方式である。原文はこれを著者の運用事例として紹介しており、コストや性能の3の検証結果は掲載していない。 - 接続権限はIAMポリシーのssm:StartSessionで制御され、セッションの開始と終了はCloudTrailに記録されると原文は説明している。ポートフォワーディングのセッションでDBとやり取りされるSQLの内容は記録されないと明記されている。