Elastic Compute Service:OpenSSH または Xshell を使用した Linux インスタンスへの接続

接続前の準備

• インスタンスが Linux で動作していること。

• インスタンスに固定パブリック IP アドレスまたはElastic IP アドレス (EIP) が割り当てられていること。

方法 1： OpenSSH クライアントの使用 (コマンドライン)

OpenSSH は、macOS および最新の Windows に標準で組み込まれている SSH クライアントで、コマンドラインからリモートサーバーに接続できます。

方法 2： Xshell クライアントの使用 (Windows のみ)

Xshell は、Linux サーバーを管理するための Windows 用 SSH クライアントです。

本番運用時の注意点

本番環境では、SSH 接続のセキュリティを強化してください。

• 中間者攻撃を防ぐためのホストキーフィンガープリントの確認

  初回接続時にホストキーフィンガープリントを確認して、正しいインスタンスに接続していることを確認してください。

• パスワードベースログオンの無効化とキーペア認証の強制

  キーペア認証はパスワードよりも安全で、ブルートフォース攻撃のリスクを軽減します。

  1. インスタンスにキーペアをバインドします。

  2. インスタンスにログインし、/etc/ssh/sshd_config を編集し、PasswordAuthentication を no に設定します。SSH サービスを再起動します。

• デフォルト SSH ポートの変更

  ポート 22 を非標準ポート (例： 2222) に変更することで、自動スキャンへの露出を減らします。

  1. 新しいポートの許可： 新しいポートへのトラフィックを許可するインバウンドルールを追加します。

  2. SSH ポートの変更：インスタンスにログオンし、/etc/ssh/sshd_config を編集し、#Port 22 を Port 2222 に変更します。SSH サービスを再起動します。

  3. 新しいポートで接続： -p でポートを指定します。例: ssh -p 2222 username@instance_ip。

• 信頼できる IP アドレスからのアクセス許可

  セキュリティグループルールを変更して、信頼できる IP アドレスからの SSH アクセスのみを許可します。

よくある質問

• ポート 22 のセキュリティグループルールを設定する方法は？

  インスタンスのセキュリティグループで、以下の設定でルールを追加します：

  アクション	プロトコル	送信元	送信先 (このインスタンス)
  許可	カスタム TCP	ローカルクライアントのパブリック IP アドレス。 重要 0.0.0.0/0 を使用すると、任意の IP アドレスがポートにアクセスできるようになり、セキュリティリスクとなります。	SSH (22) SSH ポートを変更した場合は、新しいポート番号を使用してください。

• インスタンスのホストキーフィンガープリントを確認する方法は？

  初回接続時、SSH クライアントはホストキーフィンガープリントの確認を求めます。

  コンソールで確認

  1. ECS コンソール - インスタンスに移動します。リージョンとリソースグループを選択します。

  2. インスタンスを探し、 > [インスタンスシステムログの取得] をクリックします。フィンガープリントを表示するには、BEGIN SSH HOST KEY FINGERPRINTS を探します。

     

     SSH クライアントに表示されたフィンガープリントが、出力されたものと完全に一致することを確認してください。不一致の場合、中間者攻撃を受けている可能性があります。

     このセクションが見つからない場合は、インスタンスにログオンしてフィンガープリントを確認してください。

  インスタンス内で確認

  ワークベンチを使用してインスタンスにログオンし、以下のコマンドを実行します。

  for f in /etc/ssh/ssh_host_*_key.pub; do ssh-keygen -l -f "$f"; done

  出力例：

  1024 SHA256:9C******co root@Connect-Instance-Example (DSA)
  256 SHA256:u6******SU root@Connect-Instance-Example (ECDSA)
  256 SHA256:iQ******jg root@Connect-Instance-Example (ED25519)
  3072 SHA256:8R******64 root@Connect-Instance-Example (RSA)

  SSH クライアントに表示されたフィンガープリントが、出力されたものと完全に一致することを確認してください。不一致の場合、中間者攻撃を受けている可能性があります。

• SSH 設定ファイルで接続コマンドを簡略化する方法は？

  サーバーエイリアスを定義するには、ローカルマシンで SSH config ファイルを作成します。

  1. config ファイルを見つけるか作成します。

     Windows 10/11

     デフォルトパス： C:\Users\YourUsername\.ssh\config。ファイルが存在しない場合は作成してください。

     YourUsername を現在の Windows ユーザー名に置き換えます。

     macOS

     デフォルトパスは ~/.ssh/config です。ファイルが存在しない場合は作成してください。

  2. config ファイルを編集し、インスタンス情報を追加します。

     config ファイルを開き、サーバーごとに Host ブロックを追加します。

     # Web サーバーのエイリアス「web-server」を設定
     Host web-server
         HostName        47.98.xxx.xxx
         User            root
         Port            22
         # (オプション) キーペアを使用してログオンする場合は、秘密鍵のパスを指定します。パスワードを使用する場合は無視してください。
         IdentityFile    /path/to/your/private_key.pem
     
     # 他のサーバーの設定を追加できます
     Host other-server
         HostName        8.123.xxx.xxx
         User            ecs-user
         Port            2222
         IdentityFile    ~/.ssh/another_key.pem

     **パラメータの説明**：

     • Host：カスタムエイリアス。

     • HostName：パブリック IP アドレス。

     • User：ログオンユーザー名。

     • Port：SSH ポート (デフォルト： 22)。

     • IdentityFile：秘密鍵ファイルのパス。

  3. エイリアスを使用して接続します。

     config ファイルを保存します。エイリアスを使用して接続します:

     # エイリアスを使用して直接接続します。SSH は config ファイルから IP アドレス、ユーザー名、キー情報を自動的に読み取ります。
     ssh web-server

• Connection timed out エラーが表示されるのはなぜですか。

  クライアントがサーバーに到達できない場合に発生します。以下を確認してください。

  1. パブリック IP アドレスが正しいこと。

  2. セキュリティグループが必要なポートへのトラフィックを許可していること。

  3. インスタンスが実行中であること。

  4. ECS コンソール - セルフサービストラブルシューティングツールを使用して問題を診断します。

• Permission denied, please try again というエラーが表示されるのはなぜですか。

  サーバーがパスワードを拒否した場合に発生します。以下を確認してください。

  1. コンソールでパスワードをリセットして、再試行します。

  2. ECS コンソール - セルフサービストラブルシューティングツールを使用して問題を診断します。

• Permission denied (publickey) エラーが発生するのはなぜですか？

  サーバーがキーを拒否した場合に発生します。以下を確認してください。

  1. コンソールでキーペアを再度バインドして、再試行します。

  2. 秘密鍵ファイルへのパスが正しく、インスタンスにバインドされているキーペアと一致していること。

  3. (macOS の場合) 秘密鍵ファイルの権限は 400 または 600 です。

  4. ECS コンソール - セルフサービストラブルシューティングツールを使用して問題を診断します。

• なぜ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! エラーが発生するのですか？

  この SSH セキュリティ機能は、サーバーのホストキーが変更された場合にトリガーされます。これは、システムディスクの変更、OS の再インストール、またはホストキーファイルの削除後に発生する可能性があります。

  解決方法： ホストキーフィンガープリントを確認します。正しい場合は、古いフィンガープリントを削除します。

  ssh-keygen -R <instance_public_IP_address>