AWS Systems Managerとは?設定管理からセキュアな運用まで初心者向けに徹底解説

AWSでEC2インスタンスを運用していると、「サーバーに直接SSHで接続して設定を変更する」「パッチ当てを手動でやっている」「複数台のサーバーに同じコマンドを実行するのが大変」といった悩みが出てきます。こうした運用の手間を一気に解決してくれるのが「AWS Systems Manager」です。今回は、Systems Managerの主要な機能から、セキュアな運用の実現方法、AWS Configとの連携まで、初心者にも分かりやすく解説します。

AWS Systems Managerとは

AWS Systems Manager(SSM)は、AWSのインフラ運用を自動化・効率化するためのサービス群です。一つの「サービス」というより、運用に関わる様々な機能をまとめた「プラットフォーム」というイメージが近いです。

Systems Managerを使うことで、以下のようなことが実現できます。

Systems Managerを使うには、EC2インスタンスに「SSMエージェント」というソフトウェアがインストールされている必要があります。Amazon Linux 2以降やWindows Server 2008以降では、SSMエージェントがデフォルトでインストールされているため、多くの場合は追加のインストール作業は不要です。

Systems Managerの主要機能

Systems Managerには非常に多くの機能がありますが、特に重要なものを整理します。

Session Manager

Session Managerは、SSH接続やRDPなしにEC2インスタンスへ安全にアクセスできる機能です。ブラウザのAWSコンソールやAWS CLIから、セキュアなシェルセッションを開始できます。

従来のSSH接続では、ポート22を開放してキーペアを管理する必要がありました。Session Managerを使うと、ポート22を一切開放せずに済むため、セキュリティグループのインバウンドルールをシンプルに保てます。また、セッションのログをS3やCloudWatch Logsに記録できるため、「誰がいつどのインスタンスで何を操作したか」という監査ログを自動的に残せる点も大きなメリットです。

Session Managerを使うために必要なものは3つです。EC2インスタンスにSSMエージェントがインストールされていること、EC2インスタンスにAmazonSSMManagedInstanceCoreポリシーを持つIAMロールがアタッチされていること、そしてSSMのVPCエンドポイント(ssm・ssmmessages・ec2messages)またはインターネット経由でSSMエンドポイントへの通信経路があることです。

Run Command

Run Commandは、複数のEC2インスタンスに対して、AWSコンソールやCLIからコマンドを一括実行できる機能です。

たとえば「本番環境の全EC2インスタンスで、アプリケーションを再起動したい」という場合、従来は各インスタンスにSSH接続してコマンドを実行する必要がありました。Run Commandを使えば、対象インスタンスをタグで指定してコマンドを実行するだけで、全台に一括適用されます。

実行結果はAWSコンソール上で確認でき、S3やCloudWatch Logsに記録を残すこともできます。シェルスクリプトはもちろん、AWSが用意している「ドキュメント」と呼ばれるテンプレートを使うことで、よく使う操作を再利用しやすい形で管理できます。

Patch Manager

Patch Managerは、EC2インスタンスのOSパッチ適用を自動化する機能です。Amazon Linux・Ubuntu・Windows Serverなど複数のOSに対応しており、パッチの承認・適用・レポートまでを一元管理できます。

Patch Managerの設定は大きく2つの要素で構成されています。「パッチベースライン」は「どのパッチを適用するか」のルールを定義するもので、セキュリティパッチのみを自動承認する、特定のパッケージは除外するといった設定ができます。「メンテナンスウィンドウ」は「いつパッチを適用するか」のスケジュールを定義するもので、「毎週日曜日の深夜2時〜4時」のように指定します。

パッチ適用後は「コンプライアンスレポート」で各インスタンスの適用状況を確認でき、「このインスタンスはまだ古いパッチのまま」という把握がコンソール上で一目でできます。

Parameter Store

Parameter Storeは、アプリケーションの設定値や機密情報を安全に管理するためのサービスです。データベースのパスワード・APIキー・環境変数など、コードにハードコーディングしたくない値を一元管理できます。

Parameter Storeには2種類のパラメータがあります。「StandardParameter」は通常の設定値(暗号化なし)の保存に使い、無料で利用できます。「SecureString」はKMS(Key Management Service)を使って暗号化された値を保存するもので、パスワードやAPIキーなど機密性の高い情報の管理に使います。

アプリケーションからParameter Storeの値を取得する際は、AWS SDKを使ってコードから動的に取得する形になります。これにより、環境ごとに異なる設定値(開発環境用DBパスワード・本番環境用DBパスワードなど)を、コードを変えずに切り替えられます。

Secrets Manager との違い

Parameter Storeと似たサービスに「Secrets Manager」があります。違いを一言で言うと、Secrets Managerはパスワードの自動ローテーション機能が標準で組み込まれており、RDSなどのデータベース認証情報の管理に特化しています。Parameter Storeはより汎用的な設定値の管理に向いており、シンプルな用途であればコストを抑えられます。「DBパスワードを定期的に自動更新したい」という場合はSecrets Manager、「APIキーや環境変数を安全に管理したい」という場合はParameter Storeという使い分けが一般的です。

Inventory

Inventoryは、EC2インスタンスにインストールされているソフトウェア・OSの設定・ネットワーク情報などを自動収集して可視化する機能です。「どのインスタンスにどのバージョンのソフトウェアが入っているか」を一覧で確認できるため、脆弱性のある古いバージョンが残っていないかのチェックなどに活用できます。

AWS Configとの連携

Systems ManagerはAWS Configと組み合わせることで、より強力なコンプライアンス管理を実現できます。

AWS Configは「AWSリソースの設定状態を継続的に記録・評価するサービス」です。「この設定になっていなければルール違反として検出する」というルールを定義できます。

Systems ManagerとConfigの連携で代表的な活用例は以下の通りです。

パッチ適用状況の継続的な監視では、Patch Managerで管理しているインスタンスのパッチ適用状況をConfigルールで評価し、「パッチが適用されていないインスタンスがあれば違反として検出する」という仕組みを作れます。違反を検出したらSNSで通知を送り、Systems ManagerのRun Commandで自動的にパッチ適用を実行する、という一連の自動化フローを構築できます。

SSMエージェントの稼働確認では、ConfigルールでSSMエージェントが正常に動作しているかを監視し、エージェントが停止しているインスタンスを自動検出できます。

設定変更の追跡では、EC2インスタンスの設定変更履歴をConfigが記録し、「いつ・誰が・何を変更したか」を後から追跡できるようになります。Systems ManagerのSession Managerのログと組み合わせることで、操作ログと設定変更ログの両方を一元的に管理できます。

セキュアな運用のためのベストプラクティス

Systems Managerを使ったセキュアな運用のために、押さえておきたいポイントをまとめます。

SSHポートを閉じてSession Managerに統一することが重要です。SSH(ポート22)を開放している限り、ブルートフォース攻撃などのリスクが残ります。Session Managerに切り替えることでポート22を完全に閉じられ、セキュリティグループのインバウンドルールをすっきりさせられます。

Parameter StoreのSecureStringでシークレット管理を一元化することも重要です。データベースのパスワードやAPIキーをコードやEC2の環境変数に直接書くのではなく、Parameter Storeで管理することで、パスワードが漏えいするリスクを大幅に下げられます。

Session Managerのセッションログを有効にすることで、誰がいつどのインスタンスで何を操作したかという監査ログを自動的にS3やCloudWatch Logsに記録できます。セキュリティインシデント発生時の原因調査や、コンプライアンス要件への対応に役立ちます。

最小権限のIAMポリシーを設定することも重要です。Session Managerへのアクセスは、IAMポリシーのCondition要素でEC2インスタンスのタグを条件に指定することで、「開発環境のインスタンスにしか接続できない」「本番環境への接続は特定のロールのみ」という細かいアクセス制御が実現できます。

まとめ

AWS Systems Managerは、EC2インスタンスの運用管理を自動化・効率化・セキュア化するための機能が揃ったプラットフォームです。Session Managerによるポートレスなアクセス、Patch Managerによるパッチ適用の自動化、Parameter Storeによる機密情報の安全な管理、そしてAWS Configとの連携によるコンプライアンス管理まで、現代のクラウド運用に欠かせない機能が揃っています。SSHに頼った手動運用から、Systems Managerを活用した自動化・可視化された運用への移行は、クラウドエンジニアとしてのスキルアップにも直結する重要なテーマです。まずはSession ManagerとParameter Storeの2つから使い始めると、運用の変化を実感しやすいと思います。