Acces SSH Securizat la EC2 din GitHub Actions prin AWS SSM, Eliminând Whitelisting-ul Portului 22

Pipeline-urile tradiționale CI/CD se confruntă adesea cu dificultăți în conectarea securizată la instanțe EC2 pentru sarcini precum implementarea sau configurarea. Metodele comune implică fie expunerea portului SSH 22 la internet, un risc major de securitate, fie gestionarea cheilor SSH cu durată lungă de viață în secretele depozitului, creând o altă vulnerabilitate potențială. Gazdele bastion oferă o alternativă mai sigură, dar introduc infrastructură suplimentară de gestionat, patch-uit și plătit. Aceste practici stabilite duc adesea la compromisuri de securitate și la suprasolicitare operațională, cheile sensibile și porturile deschise devenind riscuri acceptate în multe fluxuri de lucru de implementare.

Articolul propune o soluție robustă utilizând AWS Systems Manager (SSM) Session Manager pentru a stabili conexiuni SSH. Această metodă schimbă fundamental paradigma conexiunii, având agentul SSM de pe instanța EC2 inițiat o conexiune outbound HTTPS către AWS. Când se solicită o sesiune, AWS intermediază conexiunea prin acest canal existent, eliminând necesitatea oricăror reguli SSH inbound pe grupul de securitate al instanței. Aceasta înseamnă că portul 22 poate rămâne închis, iar instanțele din subrețele private pot fi accesate fără adrese IP publice sau gateway-uri NAT, bazându-se exclusiv pe politicile IAM pentru controlul accesului și CloudTrail pentru auditare.

Mai mult, soluția se integrează cu EC2 Instance Connect pentru a furniza chei SSH efemere cu o durată de viață de un minut, eliminând necesitatea rotației cheilor și reducând suprafața de atac. Autorul a împachetat această configurare complexă într-o acțiune GitHub, `ankurk91/setup-ssh-over-ssm-action`, care automatizează generarea cheilor, configurarea sesiunii și curățarea. Acest lucru permite clienților SSH standard și instrumentelor precum `rsync` și `ansible` să se conecteze fără probleme utilizând un `ProxyCommand` configurat de acțiune, oferind un proces de implementare securizat, auditabil și operațional mai simplu.