AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. EC2 インスタンスに関連付けたセキュリティグループのインバウンドルールで、0.0.0.0/0 からの HTTPS (443 番ポート) を許可し、Session Manager のエンドポイントに到達できるようにする。

SSM Agent はインスタンスから Systems Manager へアウトバウンドの HTTPS 接続を張り、その接続の上でセッションを中継する仕組みです。外部から EC2 へ接続を受け付けるわけではないため、インバウンドルールの追加は一切不要です。
まして 0.0.0.0/0 からの 443 番許可は、インターネット全体からの着信を許すことになり、SSH を廃止してセキュリティを強化するという目的に真っ向から反します。
セキュリティグループはステートフルで、アウトバウンドの応答は自動的に許可される点も押さえておきましょう。

B. パブリックサブネットに NAT ゲートウェイを配置して Elastic IP をアタッチし、プライベートサブネットのルートテーブルにその NAT ゲートウェイへのルートを追加する。

NAT ゲートウェイを置けば、プライベートサブネットのインスタンスからでも Systems Manager のパブリックエンドポイントへ到達でき、Session Manager 自体は動作します。
しかしその通信はインターネットを経由するため、「接続はすべてプライベートなネットワーク経路のみを使用する」という要件を満たしません。
加えて NAT ゲートウェイは時間課金とデータ処理料金が発生し、コスト面でも VPC エンドポイントに劣ります。

正解

C. EC2 インスタンスに、Systems Manager が必要とする権限を付与する IAM インスタンスプロファイルをアタッチする。

正解です。EC2 インスタンスが Systems Manager のマネージドノードとして登録されるには、ssm:UpdateInstanceInformation や ssmmessages:* を含む権限（AWS 管理ポリシーの AmazonSSMManagedInstanceCore）を持つ IAM インスタンスプロファイルが必要です。
これが無いとエージェントは自身を登録できず、マネージドノード一覧に現れないため Session Manager の接続先として選べません。
ネットワーク経路をいくら整えても、権限が無ければ接続は成立しないという前提条件です。

D. 各 EC2 セキュリティグループのインバウンドルールで、VPC の CIDR 範囲からの TCP 22 番ポートへのアクセスを許可する。

本問の目的はSSH をやめて Session Manager に置き換えることです。Session Manager は 22 番ポートを使わず、エージェントが張るアウトバウンド接続の上で操作を中継します。
したがって TCP 22 番のインバウンド許可は不要であり、むしろ廃止したい経路をわざわざ残すことになります。
「VPC の CIDR 範囲から」と限定されていて安全そうに見えますが、要件を満たすうえで何の役にも立ちません。

正解

E. インスタンスが稼働している VPC に、Systems Manager 用のインターフェイス型 VPC エンドポイント (com.amazonaws.region.ssm および com.amazonaws.region.ssmmessages) を作成する。

正解です。プライベート経路だけで Session Manager を使うには、インスタンスの VPC にcom.amazonaws.region.ssm と com.amazonaws.region.ssmmessages のインターフェイス型 VPC エンドポイント（AWS PrivateLink）を作成します。
これによりエージェントの通信は VPC 内の ENI 宛てとなり、インターネットゲートウェイも NAT ゲートウェイも経由しません。エンドポイントのセキュリティグループでインスタンスからの 443 番インバウンドを許可する点も忘れがちです。
なお ec2messages エンドポイントは SSM Agent 3.3.40.0 以降では ssmmessages に置き換えられており、Run Command など他機能の要否に応じて追加します。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
SSH をやめて Session Manager へ切り替える	Session Manager は22 番ポートもインバウンド許可も使わない。ポート開放を提案する選択肢は目的に逆行する →選択肢（A・D）を消す
接続はすべてプライベートなネットワーク経路のみ	NAT ゲートウェイ経由はインターネット経由。VPC 内で完結させるには AWS PrivateLink（インターフェイス型 VPC エンドポイント）が必要 →選択肢（B）を消す／選択肢（E）が正解
EC2 を Systems Manager のマネージドノードとして登録する	AmazonSSMManagedInstanceCore 相当の IAM インスタンスプロファイルが必須。権限が無ければノード一覧に現れない →選択肢（C）が正解
必要なエンドポイントの種類	ssm と ssmmessages（インターフェイス型）が Session Manager の必須。ログを S3 / CloudWatch Logs へ送るなら該当エンドポイントも追加 →選択肢（E）が正解
権限とネットワークの両方が揃って初めて接続できる	どちらか一方だけでは不成立。「IAM ロール」と「VPC エンドポイント」の 2 択という構図を覚える →選択肢（C・E）が正解

ひっかけポイント

• 選択肢 A は「443 番なら安全」という思い込みを突く罠。SSM Agent の通信はアウトバウンドであり、インバウンドルールは一切追加不要
• 選択肢 B は「Session Manager が動くかどうか」だけを見ると正しく動いてしまうため紛らわしい。判定の分かれ目は「プライベートな経路のみ」という一文で、NAT 経由はインターネット通信である
• 選択肢 D の「VPC の CIDR 範囲から 22 番」は制限されていて安全そうに見えるが、Session Manager では 22 番自体が不要。SSH を残す提案は要件と真逆
• VPC エンドポイントはリージョンではなく VPC（のサブネット）に作成するリソース。さらにエンドポイント側のセキュリティグループで 443 番のインバウンドを許可しないと通信できない点が実務・試験ともに落とし穴

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「セッションのログを S3 や CloudWatch Logs に保存したい（プライベート経路のまま）」	S3 のゲートウェイエンドポイント / CloudWatch Logs のインターフェイスエンドポイントの追加が正解軸に。
「マネージドノード一覧にインスタンスが表示されない原因を調べたい」	IAM インスタンスプロファイル・SSM Agent の稼働状態・エンドポイントへの到達性の 3 点確認が論点に。
「オンプレミスのサーバーも Session Manager で操作したい」	ハイブリッドアクティベーション（マネージドノードの登録）が正解軸に。IAM インスタンスプロファイルではなくアクティベーションコードを使う。
「特定のユーザーだけに接続できるインスタンスを限定したい」	IAM ポリシーの条件キー（ssm:resourceTag/...）や Session Manager のセッション設定が論点に変わる。
「RDP / SSH のポート転送を Session Manager 経由で行いたい」	AWS-StartPortForwardingSession ドキュメントを使ったポートフォワーディングが正解軸に。

関連サービスの解説

Amazon EC2
AWS Identity and Access Management (AWS IAM)
AWS PrivateLink
AWS Systems Manager

リファレンス

この問題を解くために必要な知識を扱う公式ドキュメントです。

知識項目	公式ドキュメント
Session Manager をプライベート経路で使うための VPC エンドポイント (ssm / ssmmessages)	Systems Manager のために VPC エンドポイントを使用して EC2 インスタンスのセキュリティを強化する - AWS Systems Manager