スイッチロール先のアカウントにあるRDSにローカルPCから接続

こんにちは！
AWS事業本部コンサルティング部の繁松です！

お客様から「スイッチロール先アカウントにあるRDSにローカルから接続したい」というお話がありましたので、
ローカルPCからEC2（踏み台サーバ）間をセッションマネージャーポートフォワードを使って、EC2（踏み台サーバ）からRDS間をソケット通信リレーで、ローカルPCからprivate環境にあるRDSへの接続を行います！

構成図

前提

• アカウントAからアカウントBにスイッチロールができる
• EC2（踏み台サーバ）はAmazon Linux 2
• スイッチロール先のアカウントにEC2（踏み台サーバ）からのみアクセスできるRDSがあり、ローカルPCから接続したい

※ロールの権限は必要に応じて変更してください。

今回は以下のように考えて進めます。

アカウント名	用途	アカウントID	IAMユーザー名	IAMロール名
アカウントA	踏み台AWSアカウント	999999999999	accountAuser	なし
アカウントB	システム側のAWSアカウント	000000000000	なし	accountBrole

事前準備、確認

IAMユーザー、スイッチロールの設定

アカウントBのロールにセッションマネージャー接続が可能な権限があることを確認します。
今回は以下の権限を追加しました。

• AmazonSSMFullAccess

MFAが有効化されているユーザーを使用する場合、ローカルPCのAWS CLI configには以下のようにスイッチロール先の設定を記載します。
profile名はaccountBで設定しています。

[profile accountB]
role_arn = arn:aws:iam::<AWSアカウントBのアカウント番号>:role/accountBrole
source_profile = accountA
mfa_serial = arn:aws:iam::<AWSアカウントAのアカウント番号>:mfa/accountAuser

EC2（踏み台サーバ）

アカウントBにあるEC2（踏み台サーバ）へ接続する準備をします。

• VPCエンドポイント作成
  今回private環境なので、以下のVPCエンドポイントを作成します。
  • com.amazonaws.ap-northeast-1.ssmmessages
  • com.amazonaws.ap-northeast-1.ec2messages
  • com.amazonaws.ap-northeast-1.ssm
• ロールに権限追加
  EC2（踏み台サーバ）のロールにセッションマネージャー接続が可能な権限を追加します。
  今回は以下の権限を追加しました。
  • AmazonSSMManagedInstanceCore

EC2（踏み台サーバ）に各種インストール

ローカルPCからEC2（踏み台サーバ）に接続しsocatのインストールと、セッションマネージャーのバージョン確認を行います。 ローカルPCのAWS CLIはaccountAのユーザーに切り替え以下のコマンドを実行していきます。

接続コマンド
[ローカルPCから実行]

$ aws ssm start-session --target <踏み台サーバのEC2インスタンスID> --region ap-northeast-1 --profile accountB

• socatのインストールを実施
  EC2（踏み台サーバ）とRDSのソケット通信リレー用にsocatをインストールします。

[接続先のEC2（踏み台サーバ）から実行]

$ sudo yum install socat -y

• セッションマネージャーのバージョン確認
  System Managerエージェントのバージョンが 2.3.672.0 以上である必要があります。
  以下のコマンドで確認します。
  [接続先のEC2（踏み台サーバ）から実行]

$ yum info amazon-ssm-agent
Loaded plugins: extras_suggestions, langpacks, priorities, update-motd
Installed Packages
Name        : amazon-ssm-agent
Arch        : x86_64
Version     : 3.1.338.0

RDS

• セキュリティグループの確認
  EC2（踏み台サーバ）のセキュリティグループから3306ポートの接続が許可されていることを確認します。

ローカルPC AWS CLI

• セッションマネージャー用プラグインのインストール ローカルPCのAWS CLIにセッションマネージャー用のプラグインをインストールします。
  こちらは環境にあわせてインストールしてください。

接続

準備が整ったので接続していきます。
各手順毎にコンソールを起動するので、手順1用、2用、3用で計3つ起動します。

1. ローカルPCからEC2（踏み台サーバ）間をセッションマネージャーポートフォワード

まず以下のコマンドでローカルPCからEC2（踏み台サーバ）間をセッションマネージャーポートフォワードさせます。

[ローカルPCから実行]

$ aws ssm start-session --target <踏み台サーバのEC2インスタンスID> --profile accountB --region ap-northeast-1 \
--document-name AWS-StartPortForwardingSession \
--parameters '{"portNumber":["3306"],"localPortNumber":["33060"]}'

2. EC2（踏み台サーバ）からRDS間をソケット通信リレー

次にEC2（踏み台サーバ）からRDS間をソケット通信リレーさせます。
EC2（踏み台サーバ）に接続します。

接続コマンド
[ローカルPCから実行]

$ aws ssm start-session --target <踏み台サーバのEC2インスタンスID> --region ap-northeast-1 --profile accountB

socatコマンド
[接続先のEC2（踏み台サーバ）から実行]

$ socat tcp4-listen:3306,reuseaddr,fork TCP:RDSのDNS:3306

3. RDSに接続

RDSに接続してみます。
[ローカルPCから実行]

$ mysql -u root -D db -h 127.0.0.1 -P 33060 -p

これで繋がればOKです。

4. MySQL Workbenchを使って接続

MySQL Workbenchを使って接続してみます。

以下の内容で設定します。
hostname:127.0.0.1
ポート:33060

繋がりました

さいごに

ローカル環境からスイッチロール先のprivate環境に接続するセッションマネージャーポートフォワードとsocatを使って接続してみました。
private環境への接続は悩むところだと思うので、お役に立てれば光栄です！

参考

参考にさせて頂きありがとうございます！