Elastic Compute Service:OpenSSH または Xshell を使用した Linux インスタンスへの接続

接続前の準備

• インスタンスが Linux で実行されていること。

• インスタンスに 静的パブリック IP アドレス または Elastic IP アドレス (EIP) があること。

方法 1： OpenSSH クライアントの使用 (コマンドライン)

OpenSSH は、macOS および最新の Windows に組み込まれている標準的な SSH クライアントであり、リモートサーバーへのコマンドライン接続を可能にします。

方法 2： Xshell クライアントの使用 (Windows のみ)

Xshell は、Linux サーバーを管理するための Windows 用 SSH クライアントです。

本番環境に適用

本番環境では、SSH 接続を強化します。

• 中間者攻撃を防ぐためのホストフィンガープリントの確認

  初回接続時に、ホストキーのフィンガープリントを確認 して、正しいインスタンスに接続していることを確認します。

• パスワードベースのログインを無効にし、キーペア認証を強制する

  キーペア認証はパスワードよりも安全で、ブルートフォース攻撃のリスクを軽減します。

  1. インスタンスに キーペアを関連付け ます。

  2. インスタンスにログオンし、/etc/ssh/sshd_config を編集して PasswordAuthentication を no に設定します。SSH サービスを再起動します。

• デフォルトの SSH ポートを変更する

  ポート 22 を非標準ポート (2222 など) に変更すると、自動スキャンの対象になりにくくなります。

  1. 新しいポートを許可する： 新しいポートでのトラフィックを許可する インバウンドルールを追加 します。

  2. SSH ポートの変更: インスタンスにログオンし、/etc/ssh/sshd_config を編集して #Port 22 を Port 2222 に変更します。SSH サービスを再起動します。

  3. 新しいポートで接続: -p でポートを指定します。例: ssh -p 2222 username@instance_ip。

• 信頼できる IP アドレスからのアクセスのみを許可する

  セキュリティグループルールを変更 して、信頼できる IP アドレスからの SSH アクセスのみを許可します。

よくある質問

• ポート 22 のセキュリティグループルールはどのように設定しますか?

  インスタンスのセキュリティグループで、次の設定でルールを 追加 します。

  アクション	プロトコル	ソース	送信先 (このインスタンス)
  許可	カスタム TCP	ローカルクライアントのパブリック IP アドレス。 重要 0.0.0.0/0 を使用すると、任意の IP アドレスがポートにアクセスできるようになり、セキュリティリスクとなります。	SSH (22) SSH ポートを変更した場合は、新しいポート番号を使用します。

• インスタンスのホストキーのフィンガープリントを確認するにはどうすればよいですか?

  初回接続時、SSH クライアントはホストキーのフィンガープリントの確認を求めます。

  コンソールでの確認

  1. ECS コンソール - インスタンス に移動します。リージョンとリソースグループを選択します。

  2. インスタンスを見つけ、 > [インスタンスのシステムログを取得] をクリックします。BEGIN SSH HOST KEY FINGERPRINTS を見つけると、フィンガープリントを確認できます。

     ##########################################################
     -----BEGIN SSH HOST KEY FINGERPRINTS-----
     1024 SHA256:VtyWxxx xxx xxx xxx xxx xxx xxx xxx xxx KezM root@ixxx xxx xxx xxx xxx KZ (DSA)
     256 SHA256:kCxxx xxx xxx xxx xxx xxx xxx xxx 0E root@iZxxx xxx xxx xxx KZ (ECDSA)
     256 SHA256:PExxx xxx xxx xxx xxx xxx xxx eQ root@iZbxxx xxx xxx xxx KZ (ED25519)
     3072 SHA256:Ymxxx xxx xxx xxx xxx xxx xxx DkE root@iZxxx xxx xxx xxx xZ (RSA)
     -----END SSH HOST KEY FINGERPRINTS-----
     ##########################################################

     SSH クライアントに表示されるフィンガープリントが、出力内のいずれかと 完全に一致 することを確認します。不一致の場合、中間者攻撃を受けている可能性があります。

     このセクションがない場合は、インスタンスにログインしてフィンガープリントを確認してください。

  インスタンスでの確認

  Workbench を使用してインスタンスにログイン し、次のコマンドを実行します。

  for f in /etc/ssh/ssh_host_*_key.pub; do ssh-keygen -l -f "$f"; done

  出力例：

  1024 SHA256:9C******co root@Connect-Instance-Example (DSA)
  256 SHA256:u6******SU root@Connect-Instance-Example (ECDSA)
  256 SHA256:iQ******jg root@Connect-Instance-Example (ED25519)
  3072 SHA256:8R******64 root@Connect-Instance-Example (RSA)

  SSH クライアントに表示されるフィンガープリントが、出力内のいずれかと 完全に一致 することを確認します。不一致の場合、中間者攻撃を受けている可能性があります。

• SSH 設定ファイルで接続コマンドを簡素化するにはどうすればよいですか?

  サーバーエイリアスを定義するには、ローカルマシンに SSH の config ファイルを作成します。

  1. 設定ファイルを見つけるか作成します。

     Windows 10/11

     デフォルトパス: C:\Users\YourUsername\.ssh\config。ファイルが存在しない場合は、作成してください。

     YourUsername を現在の Windows ユーザー名に置き換えてください。

     macOS

     デフォルトパス: ~/.ssh/config。ファイルが存在しない場合は、作成してください。

  2. 設定ファイルを編集し、インスタンス情報を追加します。

     config ファイルを開き、サーバーごとに Host ブロックを追加します。

     # Web サーバーのエイリアス "web-server" を設定
     Host web-server
         HostName        47.98.xxx.xxx
         User            root
         Port            22
         # (オプション) キーペアでログインする場合は、秘密鍵のパスを指定します。パスワードを使用する場合は無視します。
         IdentityFile    /path/to/your/private_key.pem
     
     # 他のサーバーの設定を追加できます
     Host other-server
         HostName        8.123.xxx.xxx
         User            ecs-user
         Port            2222
         IdentityFile    ~/.ssh/another_key.pem

     **パラメーターの説明**：

     • Host： カスタムエイリアス。

     • HostName： パブリック IP アドレス。

     • User： ログインユーザー名。

     • Port： SSH ポート (デフォルト： 22)。

     • IdentityFile： 秘密鍵ファイルのパス。

  3. エイリアスを使用して接続します。

     config ファイルを保存し、エイリアスを使用して接続します。

     # エイリアスを使用して直接接続します。SSH は設定ファイルから IP アドレス、ユーザー名、キー情報を自動的に読み取ります。
     ssh web-server

• なぜ Connection timed out エラーが発生するのですか？

  クライアントがサーバーに到達できませんでした。次の点を確認してください。

  1. パブリック IP アドレスが正しいこと。

  2. セキュリティグループが必要なポートでのトラフィックを許可していること。

  3. インスタンスが実行中であること。

  4. ECS コンソール - 診断 ツールを使用して、問題を診断します。

• Permission denied, please try again というエラーが発生するのはなぜですか。

  サーバーがパスワードを拒否しました。次の点を確認してください。

  1. コンソールで パスワードをリセット して、再試行します。

  2. ECS コンソール - 診断 ツールを使用して、問題を診断します。

• Permission denied (publickey) エラーが発生するのはなぜですか？

  サーバーがキーを拒否しました。次の点を確認してください。

  1. コンソールでキーペアを再度 関連付け て、再試行します。

  2. 秘密鍵ファイルへのパスが正しく、インスタンスに関連付けられているキーペアと一致していること。

  3. (macOS の場合) 秘密鍵ファイルのパーミッションは 400 または 600 です。

  4. ECS コンソール - 診断 ツールを使用して、問題を診断します。

• WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! というエラーが表示されるのはなぜですか。

  この SSH セキュリティ機能は、サーバーのホストキーが変更されたときに作動します。これは、システムディスクの変更、OS の再インストール、またはホストキーファイルの削除後に発生する可能性があります。

  解決策： ホストキーのフィンガープリントを確認 します。正しい場合は、古いフィンガープリントを削除します。

  ssh-keygen -R <instance_public_IP_address>