RDP 接続を記録する

ジャストインタイムノードアクセスには、Windows Server ノードへの RDP 接続を記録する機能があります。RDP 接続を記録するには、S3 バケットおよび AWS Key Management Service (AWS KMS) カスタマーマネージドキーが必要です。AWS KMS key は、記録対象のデータが生成されて Systems Manager リソースに保存される際に一時的に暗号化するために使用されます。カスタマーマネージドキーは、暗号化と復号を主な用途とする対称キーでなければなりません。組織で 1 つのマルチリージョンキーを使用することもできれば、ジャストインタイムノードアクセスを有効にしたリージョンごとにカスタマーマネージドキーを作成しなければならないこともあります。

記録を保存する S3 バケットで KMS 暗号化を有効にしている場合は、バケット暗号化に使用されるカスタマーマネージドキーへのアクセスを ssm-guiconnect サービスプリンシパルに提供する必要があります。このカスタマーマネージドキーは、記録設定で指定したものとは異なる場合があります。これには、接続を確立するために必要な kms:CreateGrant アクセス許可を含める必要があります。

RDP 記録用の S3 バケット暗号化の設定

接続記録は、RDP 記録を有効にするときに指定した S3 バケットに保存されます。

S3 バケット (SSE-KMS) のデフォルトの暗号化メカニズムとして KMS キーを使用する場合は、ssm-guiconnect サービスプリンシパルにキーに対する kms:GenerateDataKey アクションへのアクセスを許可する必要があります。S3 バケットで SSE-KMS 暗号化を使用する場合は、カスタマーマネージドキーを使用することをお勧めします。お勧めする理由は、カスタマーマネージドキーの関連付けられたキーポリシーを更新できるためです。AWS マネージドキー のキーポリシーを更新することはできません。

次のカスタマーマネージドキーポリシーを使用して、S3 ストレージの KMS キーへの ssm-guiconnect サービスアクセスを許可します。カスタマーマネージドキーの更新については、「AWS Key Management Service デベロッパーガイド」の「キーポリシーの変更」を参照してください。

各 example resource placeholder をユーザー自身の情報に置き換えます。

{
    "Sid": "Allow the GUI Connect service principal to access S3",
    "Effect": "Allow",
    "Principal": {
        "Service": "ssm-guiconnect.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "account-id"
        },
        "StringLike": {
            "kms:ViaService": "s3.region.amazonaws.com"
        }
    }
}

RDP 接続を記録するように IAM アクセス許可を設定する

ジャストインタイムノードアクセスに IAM アクセス許可が必要になるほか、実行する必要があるタスクに基づいて、使用するユーザーやロールに対して以下のアクセス許可を付与する必要があります。

接続を記録するように設定するためのアクセス許可

RDP 接続を記録するように設定するには、以下のアクセス許可が必要です。

接続を開始するためのアクセス許可

ジャストインタイムノードアクセスとの RDP 接続を確立するには、以下のアクセス許可が必要です。

[開始する前に]

接続の記録を保存するには、まず S3 バケットを作成し、以下のバケットポリシーを追加する必要があります。各リソースプレースホルダーの例をユーザー自身の情報に置き換えます。

(バケットポリシーの追加方法の詳細については、「Amazon Simple Storage Service ユーザーガイド」の「Amazon S3 コンソールを使用したバケットポリシーの追加」を参照してください。)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ConnectionRecording",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ssm-guiconnect.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": [
                "arn:aws:s3:::bucket name", 
                "arn:aws:s3:::bucket name/*"
            ],
            "Condition":{
            "StringEquals":{
                "aws:SourceAccount":"123456789012"
                }
            }            
        }
    ]
}

RDP 接続記録の有効化と設定

以下の手順では、RDP 接続の記録を有効にして設定する方法について説明します。

RDP 接続の記録ステータス値

RPD 接続記録の有効なステータス値は次のとおりです。