SSM で Windows Server に RDP 接続するハンズオン

📋 概要

従来、Windows Server へのリモートデスクトップ（RDP）接続にはセキュリティグループでポート 3389 を開け、パブリック IP を付与する必要がありました。これはインターネットからの攻撃対象になりやすい構成です。AWS Systems Manager（SSM）を使えば、インバウンド 3389 を一切開けず、パブリック IP も不要で、IAM 認証ベースの安全な RDP 接続を実現できます。

このハンズオンでは、SSM による Windows への RDP 接続を 2 つの方法で体験します。

• 方法 A：Session Manager のポートフォワーディング — 普段使いの RDP クライアント（mstsc 等）をそのまま使う
• 方法 B：Fleet Manager Remote Desktop — ブラウザだけで GUI 接続、ローカルクライアント不要

さらにネットワーク構成も 2 パターン（パブリックサブネット簡易版 / プライベートサブネット + VPC エンドポイント版）を扱い、本番に近いセキュアな構成も学びます。

🏗️ アーキテクチャ

方法 A：Session Manager ポートフォワーディング

方法 B：Fleet Manager Remote Desktop

ネットワーク 2 パターン

✅ 前提条件

• AWS アカウントにログイン済みで、EC2 / SSM / VPC / IAM の作成権限があること
• 方法 A を試す場合、ローカル PC に AWS CLI と Session Manager plugin を導入できること
• 方法 A の RDP には Windows の mstsc、macOS の「Microsoft Remote Desktop」などの RDP クライアント
• 同一リージョンで作業すること

🪟 ステップ 1 ― Windows Server EC2 とネットワークを準備する

SSM 管理対象となる Windows Server EC2 を起動します。ネットワークは パターン A（簡易）と パターン B（VPC エンドポイント）のいずれか、または両方を試せます。

パターン A：パブリックサブネット簡易版

パターン B：プライベートサブネット + VPC エンドポイント版

🔍 ステップ 2 ― SSM 管理状態と管理者パスワードを確認する

EC2 が SSM の「マネージドノード」として認識されているかを確認し、RDP 認証用の Administrator パスワードを取得します。

🔌 ステップ 3 ― 方法 A：Session Manager ポートフォワーディングで RDP 接続

ローカル PC の 13389 番ポートを SSM トンネル経由で EC2 の 3389 番へ転送し、普段使いの RDP クライアントで接続します。

🖥️ ステップ 4 ― 方法 B：Fleet Manager Remote Desktop で RDP 接続

ローカルに CLI も RDP クライアントも入れず、AWS コンソールのブラウザ画面だけで GUI 接続します。

⚖️ ステップ 5 ― 2 方式の比較と運用 Tips

方法 A / B の使い分け

IAM で RDP 接続を制御する

誰がどのインスタンスへ接続できるかは IAM ポリシーで制御します。例えばタグ Env=dev のインスタンスにのみセッションを許可する、といった絞り込みが可能です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["ssm:StartSession"],
      "Resource": "arn:aws:ec2:*:*:instance/*",
      "Condition": {
        "StringEquals": { "ssm:resourceTag/Env": "dev" }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ssm:StartSession"],
      "Resource": [
        "arn:aws:ssm:*:*:document/AWS-StartPortForwardingSession"
      ]
    },
    {
      "Effect": "Allow",
      "Action": ["ssm:TerminateSession", "ssm:ResumeSession"],
      "Resource": "arn:aws:ssm:*:*:session/${aws:username}-*"
    }
  ]
}

接続を監査・ログ記録する

• CloudTrail：StartSession などの API 呼び出しを記録（誰がいつ接続したか）
• Session Manager のロギング：Session Manager の設定でセッションログを S3 / CloudWatch Logs に出力可能
• セッション継続時間の制限：Session Manager の設定でアイドルタイムアウトや最大セッション時間を強制

🧹 クリーンアップ

削除手順

1. 開いているセッションを終了
   ポートフォワードのターミナルを Ctrl + C、Fleet Manager のセッションを切断
2. EC2 インスタンスを終了
   EC2 → ssm-rdp-win →「インスタンスを終了」
3. VPC エンドポイントを削除（パターン B を作成した場合）
   VPC → エンドポイント → ssm / ssmmessages / ec2messages の 3 つを削除
4. IAM ロールを削除（再利用しない場合）
   IAM → ec2-ssm-role を削除
5. セキュリティグループ・キーペアを削除（任意・他で使わない場合）

学習のまとめ