SSM で Windows Server に RDP 接続するハンズオン

📋 概要

従来、Windows Server へのリモートデスクトップ（RDP）接続にはセキュリティグループでポート 3389 を開け、パブリック IP を付与する必要がありました。これはインターネットからの攻撃対象になりやすい構成です。AWS Systems Manager（SSM）を使えば、インバウンド 3389 を一切開けず、パブリック IP も不要で、IAM 認証ベースの安全な RDP 接続を実現できます。

このハンズオンでは、SSM による Windows への RDP 接続を 2 つの方法で体験します。

• 方法 A：Session Manager のポートフォワーディング — 普段使いの RDP クライアント（mstsc 等）をそのまま使う
• 方法 B：Fleet Manager Remote Desktop — ブラウザだけで GUI 接続、ローカルクライアント不要

さらにネットワーク構成も 2 パターン（パブリックサブネット簡易版 / プライベートサブネット + VPC エンドポイント版）を扱い、本番に近いセキュアな構成も学びます。

🏗️ アーキテクチャ

方法 A：Session Manager ポートフォワーディング

方法 B：Fleet Manager Remote Desktop

ネットワーク 2 パターン

✅ 前提条件

• AWS アカウントにログイン済みで、EC2 / SSM / VPC / IAM の作成権限があること
• 方法 A を試す場合、ローカル PC に AWS CLI と Session Manager plugin を導入できること
• 方法 A の RDP には Windows の mstsc、macOS の「Microsoft Remote Desktop」などの RDP クライアント
• 同一リージョンで作業すること

🪟 ステップ 1 ― Windows Server EC2 とネットワークを準備する

SSM 管理対象となる Windows Server EC2 を起動します。まず共通手順（VPC・IAM ロール・キーペア）を準備し、その後 パターン A（パブリックサブネット簡易版）または パターン B（プライベートサブネット + VPC エンドポイント版）のどちらかを選んで進めます。

── 共通手順 ──

── パターン A：パブリックサブネット簡易版 ──

VPC にパブリックサブネットと IGW を作成し、EC2 にパブリック IP を付与します。VPC エンドポイントは不要で手順が短く、学習入門に最適です。

── パターン B：プライベートサブネット + VPC エンドポイント版 ──

インターネットに一切出ない完全プライベートな構成です。3 つの Interface VPC エンドポイントで SSM 通信を確保します。本番環境に近いセキュアな構成を学べます。

🔍 ステップ 2 ― SSM 管理状態と管理者パスワードを確認する

EC2 が SSM の「マネージドノード」として認識されているかを確認し、RDP 認証用の Administrator パスワードを取得します。

🔌 ステップ 3 ― 方法 A：Session Manager ポートフォワーディングで RDP 接続

ローカル PC の 13389 番ポートを SSM トンネル経由で EC2 の 3389 番へ転送し、普段使いの RDP クライアントで接続します。

🖥️ ステップ 4 ― 方法 B：Fleet Manager Remote Desktop で RDP 接続

ローカルに CLI も RDP クライアントも入れず、AWS コンソールのブラウザ画面だけで GUI 接続します。

⚖️ ステップ 5 ― 2 方式の比較と運用 Tips

方法 A / B の使い分け

IAM で RDP 接続を制御する

誰がどのインスタンスへ接続できるかは IAM ポリシーで制御します。例えばタグ Env=dev のインスタンスにのみセッションを許可する、といった絞り込みが可能です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["ssm:StartSession"],
      "Resource": "arn:aws:ec2:*:*:instance/*",
      "Condition": {
        "StringEquals": { "ssm:resourceTag/Env": "dev" }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ssm:StartSession"],
      "Resource": [
        "arn:aws:ssm:*:*:document/AWS-StartPortForwardingSession"
      ]
    },
    {
      "Effect": "Allow",
      "Action": ["ssm:TerminateSession", "ssm:ResumeSession"],
      "Resource": "arn:aws:ssm:*:*:session/${aws:username}-*"
    }
  ]
}

接続を監査・ログ記録する

• CloudTrail：StartSession などの API 呼び出しを記録（誰がいつ接続したか）
• Session Manager のロギング：Session Manager の設定でセッションログを S3 / CloudWatch Logs に出力可能
• セッション継続時間の制限：Session Manager の設定でアイドルタイムアウトや最大セッション時間を強制

🧹 クリーンアップ

削除手順（依存関係の逆順で行うこと）

1. 開いているセッションを終了する
   ポートフォワードのターミナルを Ctrl + C、Fleet Manager のセッションを切断
2. EC2 インスタンスを終了する
   EC2 コンソール → ssm-rdp-win →「インスタンスを終了」→ ステータスが「終了済み」になるまで待つ
3. VPC エンドポイントを削除する（パターン B を作成した場合）
   VPC →「エンドポイント」→ ssm-ep-ssm / ssm-ep-ssmmessages / ssm-ep-ec2messages の 3 つを選択 →「アクション」→「エンドポイントを削除」→ ステータスが消えるまで待つ
4. セキュリティグループを削除する
   VPC →「セキュリティグループ」→ ssm-rdp-sg を削除。
   パターン B の場合は続けて ssm-rdp-endpoint-sg も削除（ssm-rdp-sg を先に削除する）
5. サブネットを削除する
   VPC →「サブネット」→ ssm-rdp-subnet-public（パターン A）または ssm-rdp-subnet-private（パターン B）→「アクション」→「サブネットを削除」
6. ルートテーブルを削除する（パターン A のみ）
   VPC →「ルートテーブル」→ ssm-rdp-rt-public →「アクション」→「ルートテーブルを削除」
7. インターネットゲートウェイをデタッチして削除する（パターン A のみ）
   VPC →「インターネットゲートウェイ」→ ssm-rdp-igw を選択 →「アクション」→「VPC からデタッチ」→ デタッチ完了後、再度「アクション」→「インターネットゲートウェイを削除」
8. VPC を削除する
   VPC →「お使いの VPC」→ ssm-rdp-vpc →「アクション」→「VPC を削除」
9. IAM ロールを削除する（再利用しない場合）
   IAM →「ロール」→ ec2-ssm-role を削除
10. キーペアを削除する（このハンズオン専用に作成した場合）
    EC2 →「キーペア」→ 作成したキーペアを削除

学習のまとめ