WindowsのEC2へSSMのポートフォワーディングを利用してRDP接続するユーザを作成したい。

設定

以下のポリシーをもつIAMユーザを作成する。

SSM Session開始/停止ポリシー
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:ap-northeast-1::document/AWS-StartPortForwardingSession",
                "arn:aws:ec2:ap-northeast-1:アカウントID:instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:TerminateSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:session/${aws:username}-*"
            ]
        }
    ]
}

確認

今回はPowershellから確認した

環境

接続元(ローカル)

  • AWSCLI:2.4.18

  • SessionManagerPlugin:1.2.295.0

接続先

セッションマネージャのステータスがオンラインになっていること

  • ami: amazon/Windows_Server-2019-English-Full-Base-2022.02.10

手順

SSM Sessionによるポートフォワーディング
$Env:AWS_ACCESS_KEY_ID="アクセスキー"
$Env:AWS_SECRET_ACCESS_KEY="シークレットキー"
$Env:AWS_DEFAULT_REGION="ap-northeast-1"

aws ssm start-session --target インスタンスID --document-name AWS-StartPortForwardingSession --parameters portNumber=3389,localPortNumber=3389

参考