Manager」経由でWindowsサーバーにリモートデスクトップ接続する方法NTT東日本がお届けする、クラウドの情報満載のメールマガジンはこちらからご登録ください。初めまして、クラウド導入・運用サービスにて構築担当している高木です。AWSとスノーボードが大好きです。スノーボードは3年ほど前インストラクターの資格を取得したのですが、子供が産まれてからゲレンデから遠ざかってしまいました。子供が少し大きくなったら家族でゲレンデに遊びに行こうとひそかに計画しています。それでは早速本題です。SSM)」経由でWindowsサーバーにリモートデスクトップ接続をする方法について紹介していきます。皆さまもオンプレミス環境と同様に、AWS環境にWindowsインスタンスを構築した際も、システム構築やメンテナンスのために、リモートデスクトップ接続をされている事かと思います。リモートデスクトップの接続方法はいくつかあると思いますが、代表的なものは踏み台サーバー経由でのアクセスではないでしょうか。システム管理以外の部分で時間とコストがかかります。SSMの利用料は無料で、アクセス権限の一括管理やアクセスログの集中管理ができるようになります。LogsやS3の費用が必要になります。SSMを利用した、リモートデスクトップを紹介していきます。前半は、IAMにおけるユーザーの管理について、後半はリモートデスクトップ接続方法について案内していきます。SSMを利用すると5.IAMグループの作成6.IAMユーザー払い出し7.リモートデスクトップ接続8.補足情報9.おわりにNTT東日本がお届けする、クラウドの情報満載のメールマガジンはこちらからご登録ください。それらのユーザーはリモートデスクトップ接続の権限のみ許可されており、AWSマネージメントコンソールへのアクセスはすべて拒否される運用ルールを想定しています。今回のコラムでは、システム管理者がIAMユーザーの管理を行い、開発者や運用者は管理者から提供されたIAMの権限を利用してWindowsインスタンスにアクセスするような運用をイメージしています。SSMはAWS上のリソースを表示したり、インスタンスを制御するために使用できるAWSの管理サービスです。具体的には「インスタンスのパッチ管理」「アンチウィルス定義の更新」「ソフトウェアのインストール状況確認」「運用タスクの自動化」等の機能を有しています。詳細の説明は割愛しますが、運用管理フェーズでさまざまなメリットがありますので、是非皆さまも利用してみて下さい。セッションマネージャー』という機能を利用します。SSMを利用しない場合は、プライベートサブネットに所属するWinsowsインスタンスは外部ネットワークから直接接続する事はできません。開発者や運用者は必ずパブリックサブネットに所属する、踏み台サーバーを経由してWindowsインスタンスへログインする必要があります。管理者は、踏み台サーバーのグローバルIPアドレス、踏み台サーバーのログインIDパスワード等の認証情報を開発者や運用者に提供しなければなりません。SSMを利用した場合、パブリックサブネットに所属する踏み台サーバーを経由する必要が無く、直接プライベートサブネットに所属するWindowsインスタンスへリモートデスクトップアクセスする事が可能になります。管理者は、IAMグループで権限の一括管理ができるようになりますので、開発者や運用者毎に踏み台サーバー用の認証情報を提供する必要がなくなります。SSMではインスタンスへのアクセスログを記録するオプションがあります。S3』と連携することで、セッションログデータの蓄積することも可能です。SSMを利用することで、コストと情報セキュリティの面で優れた運用ができます。SSMを利用する場合、どのようなセキュリティポリシーでWindowsインスタンスへのアクセスを制限するのでしょうか。今回のコラムでは「IAMユーザー」と「IAMグループ」を利用して、Windowsインスタンスへリモートデスクトップを実行できる利用者を制限する方法を紹介していきます。AWSマネージメントコンソールにログインし、サービス検索画面で「IAM」と入力します。左側のダッシュボードから「グループ」から、「新しいグループの作成」を選択します。【図4】グループ名の設定画面では、任意のグループ名を指定します。※今回は「AmazonSSMAccess-Group」とします。右下の「次のステップ」を選択します。【図5】ポリシーのアタッチ画面では、作成するIAMグループに与える権限を設定します。フィルターの検索窓に「AmazonSSMFullAccess」を選択します。フィルターの検索窓に「AmazonEC2ReadOnlyAccess」を選択します。右下の「次のステップ」を選択します。確認画面に移動します。選択されているポリシー名を確認します。右下の「次のステップ」を選択します。【図6】IAMグループの一覧画面で、先程作ったIAMグループが出来ていることを確認します。【図7】6.IAMユーザー払い出し(管理者が実行)次に、Windowsインスタンスへアクセスする利用者用のIAMユーザーを作成します。IAMユーザーは同一アカウントを複数人で共有することはできませんので、必ず一人に一ユーザーを割り当てるようにしましょう。AWSマネージメントコンソールの画面を開きます。IAMのダッシュボード画面から「ユーザー」から「ユーザーを追加」を選択します。【図8】ユーザーを追加の画面に移動します。「ユーザー名」の入力画面に任意のユーザー名を入力します。「アクセスの種類」の選択画面では「プログラムによるアクセス」を選択します。右下の「次のステップ」を選択します。マネジメントコンソールへのアクセス」については、開発者や運用者がAWSマネージメントコンソールにアクセスする要件が無いため、選択していません。運用ルールによってAWSマネージメントコンソールへのアクセスが必要な場合は選択頂いてもかまいません。【図9】アクセス許可の設定画面に移動します。「ユーザーをグループに追加」を選択します。先ほど作成した「AmazonSSMAccess-Group」を選択します。右下の「次のステップ」を選択します。【図10】タグの追加画面に移動します。任意のタグを設定します。右下の「次のステップ」を選択します。確認画面に移動します。内容が正しければ、右下の「ユーザーの作成」を選択します。【図12】ユーザー作成が成功します。「.csvのダウンロード」を選択します。操作端末にcsvファイルがダウンロードされます。csvファイルを開きます。key」の値を控えておきます。key」の値を控えます。この値がユーザーそれぞれの認証コードのようなものになります。key」をAWSマネージメントコンソールから確認する事や、再度csvファイルのダウンロードは出来ません。ユーザー認証でセキュリティレベルの高い情報なので、大切に保管するようにしましょう。NTT東日本がお届けする、クラウドの情報満載のメールマガジンはこちらからご登録ください。7.リモートデスクトップ接続(開発者や運用者が実行)次ここからの操作は、直接Windowsインスタンスを操作する開発者や運用者それぞれの操作端末で必要な作業になります。CLI」「SSMプラグイン」をインストールしていきます。CLI」のインストールを進めます。CLIをインストールすることで、AWSの操作をコマンドプロンプトやPowerShellといったCUIの操作画面から制御できるようになります。下記のAWS公式URLより、操作端末に切なインストーラーを選択しダウンロードします。CLIがダウンロードされたことを確認します。次に「SSMプラグイン」をダウンロードします。CLIからインスタンスへ接続する事ができるようになります。下記のAWS公式URLより、操作端末に切なインストーラーを選択しダウンロードします。https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/session-manager-working-with-install-plugin.htmlダウンロード後にインストールを実施し、操作端末にSSMプラグインがダウンロードされたことを確認します。コマンドプロンプトを開きます。configure」コマンドを実行します。key」を入力します。ID:『.csvファイルにて控えた値』を選択。『.csvファイルにて控えた値』を選択。リージョンとコード形式を選択します。name:『ap-northeast-1』を選択。format:『JSON』を選択。リージョンとコード形式を選択します。localPortNumber=13389"※「i-xxxx」の個所はWindowsのインスタンスIDを代入してください。上記コメントが表示されるとポートフォワード成功です。AWS上のWindowsサーバーにアクセスします。操作端末からリモートデスクトップ接続を選択します。コンピュータ名に「localhost:13389」と入力します。【図16】ユーザーアカウントを選択しWindowsパスワードを入力します。【図17】リモートデスクトップ接続が成功するはずです。【図18】これで踏み台サーバーを構築することなく、プライベートサブネットのWindowsインスタンスにリモートデスクトップする事が出来ました。開発者や運用者用に払出したIAMユーザーは、必要なくなった時に都度削除することをオススメします。業務で必要なくなったIAMユーザーをそのまま残しておくと、担当から離れた開発者や運用管理者にもアクセス権限が有効なままになっている状態となります。IAMユーザーを削除することで、削除されたユーザーはSSM経由でリモートデスクトップ接続できなくなります。セキュリティ面で必要な管理だと思いますので、忘れずに実施してください。長期間同じIAMユーザーで運用する場合は、一定期間でキー情報を更新しましょう。上記の操作はAWSマネージメントコンソールの「IAM」で設定可能です。9.おわりに雑駁な内容でわかりづらかった個所もあったかと思いますが、最後までご覧いただきまして、ありがとうございました。SSMの利用に慣れてくると、踏み台サーバーからリモートデスクトップ接続するワンステップが必要なくなるので、サーバーへのアクセスが簡単になったように感じます。SSMを利用して踏み台サーバーレスの構成にする事で、コスト的にも運用管理的にもスマートなシステムを実現してみては如何でしょうか。以上、このコラムが皆さまの参考になりましたら幸いです。Inc.またはその関連会社の商標です。本コラムに掲載のサービスや操作画面等は2020年6月時点の情報です。リモートデスクトップを業務で活用したい方は、NTT東日本にお気軽にご相談ください。Engineers」に選ばれました。Serviceの概要と4つのシナリオ複数のIT機器やWebサービスを利用していると、機器の設定やユーザーおよびその権限の管理が煩雑になりがちです。Directoryを使った一元管理が可能で、多くの企業が採用しています。Service」を提供し、その適用範囲はクラウドや外部のWebサービスにまで拡張することができます。Cognitoの概要や機能、使い方・活用例を解説します。Cloud】どれが自社に最もマッチするの?情シス担当者の負荷を減らしてコストを軽減するクラウド化のポイントは?自社のクラウド導入を実現するまでの具体的な流れ・検討する順番は?初めての自社クラウド導入、わからないことが多く困ってしまいますよね。NTT東日本ではそんなあなたにクラウド導入に必要な情報を1冊の冊子にまとめました!クラウド化のポイントを知らずに導入を進めると、以下のような事になってしまうことも・・・システムインフラの維持にかかるトータルコストがあまり変わらない。情シス担当者の負担が減らない。セキュリティ性・速度など、クラウド期待する効果を十分に享受できない。最低限の4つのポイントを抑えておきたいところです。そもそも”クラウド化”とは?その本質的なメリット・デメリット自社にとって最適なクラウド環境構築のポイントコストを抑えるための具体的なコツ既存環境からスムーズにクラウド化を実現するためのロードマップなど、この1冊だけで自社のクラウド化のポイントが簡単に理解できます。導入サポートサービスも掲載しているので、ぜひダウンロードして読んでみてください。以下に当てはまる方はお気軽にご相談ください。環境や接続ネットワーク、クラウドサービスまでトータルにお客さまのお悩みや課題の解決をサポートします。無料相談してみる相談無料!プロが中立的にアドバイスいたしますクラウド・AWS・Azureでお困りの方はお気軽にご相談ください。