OCI Bastionの使い方を図解：マネージドSSHとポート転送の違い、接続元の制限、DBへの接続手順

※当ページにはAmazonアソシエイト等の広告リンクを含みます。

1. Bastionの全体像：入口を接続元と時間で絞る

Bastionは、公開エンドポイントのない対象へ、時間を限って接続するためのサービスです。Oracleが管理するので、自分でOSを更新する踏み台サーバーとは違い、Bastion自体にSSHでログインして管理することはありません。1つのBastionは1つのVCNに対応し、別のVCNの対象には届きません。

図1は、今回の経費申請アプリに当てはめた経路です。Bastionの接続先サブネットを private-app にして、Compute 2台と private-db のAutonomous AI Databaseへ届く形にしました。

AWSのSession Managerとの違い

AWSのSession Managerは、受信ポートを開けず、SSH鍵も管理せずに接続できる点を特長としています。OCI Bastionの方式はこれと異なり、セッションごとのSSH鍵と、対象側の受信ルールが必要です。同じ感覚で設定すると、受信ルールの不足でつまずきます。

2. セッションの方式：マネージドSSHとポート転送

セッションの方式は3つあります。対象の種類で選びます。Computeへログインするならマネージドセッション、DBへ接続するならポート転送です。

3. 接続元のCIDRとセッション時間の上限

Bastionの守りは、接続元と時間の2つです。鍵を持っているだけでは接続できず、許可されたIPから接続する必要があります。

4. 作る前に確認するもの：権限、ルート、エージェント

つながらない原因の多くは、この節の4点にあります。セッションを作る前に順に確かめます。

管理者の権限

Bastionは security、Computeは app、サブネットは network に置く想定です。公式の例は同じコンパートメントに置く前提なので、次のように置き場所を分けて書きました。グループ名の ops-admins は例です。

Allow group ops-admins to use bastion in compartment security
Allow group ops-admins to manage bastion-session in compartment security
Allow group ops-admins to read instances in compartment app
Allow group ops-admins to read instance-agent-plugins in compartment app
Allow group ops-admins to read vnic-attachments in compartment app
Allow group ops-admins to read vnics in compartment app
Allow group ops-admins to read vcn in compartment network
Allow group ops-admins to read subnets in compartment network

Bastion自体を作る人には、manage bastion-family に加えて、対象VCNのコンパートメントでネットワークの権限が要ります。公式の例は manage virtual-network-family です。特定のComputeと特定のOSユーザーに絞りたいときは、target.resource.ocid と target.bastion-session.username の条件を使えます。

ルートとゲートウェイ

Bastionの作成には、VCNのService Gatewayとそのルートが前提です。マネージドSSHセッションには、Service Gateway、Internet Gateway、NAT Gatewayのいずれかとルートが必要です。今回の private-app のルート表は、VCNの記事の表2のように次の2行を入れます。

• All NRT Services in Oracle Services Network → Service Gateway
• 0.0.0.0/0 → NAT Gateway

Bastionプラグイン

Bastionプラグインは、Oracle Cloud Agentが動いていても既定では有効になっていません。インスタンスの詳細にある Oracle Cloud Agent タブで、Bastionのスイッチを Enabled にします。反映に最大10分かかることがあります。ポート転送だけなら、この設定は不要です。

受信ルール

公式の手順はSecurity Listの例です。今回の構成はNSGで層ごとに絞るので、同じ内容をNSGの受信ルールに書きます。BastionのIPは、詳細画面の Private endpoint IP address で確かめます。

5. 手順：Computeへログインし、DBへポートを転送する

Bastionを作る

1. Bastions の一覧で Create bastion を選びます。
2. 名前を入れ、対象のVCNと、接続先サブネットに private-app を選びます。
3. CIDR block allowlist に管理者の接続元を入れます。
4. Advanced options で Maximum session time-to-live を設定します。
5. Create bastion を選びます。

マネージドSSHでComputeへログインする

1. 新しい鍵ペアを作ります。

   ssh-keygen -t rsa -b 4096 -f ./bastion-session-key

   OpenSSH 8以降のクライアントでは、既定でRSAの鍵ペアが使えません。公式の案内どおり、SSHの設定に次を足します。全ホストに効く例なので、作業後は外します。

   Host *
       HostkeyAlgorithms +ssh-rsa
       PubkeyAcceptedAlgorithms +ssh-rsa

2. Bastionの詳細で Sessions を開き、Create session を選びます。

3. Managed SSH session を選び、次を入れます。Username は opc（多くのプラットフォーム・イメージの既定）、Compute instance は対象の1台、Add SSH key は公開鍵です。

4. 作成後、セッションの Actions メニューから Copy SSH command を選びます。

5. コマンドの <privateKey> を秘密鍵のパスに置き換えて実行します。

ポート転送でDBへ接続する

Autonomous AI Databaseにはエージェントを置けないので、SSH port forwarding session を使います。DBのプライベートIPは詳細画面で確かめます。

1. Create session で SSH port forwarding session を選びます。
2. IP Address にDBのプライベートIP、ポートに 1521 を入れ、公開鍵を追加します。
3. Copy SSH command でコマンドを取り、<privateKey> と <localPort> を置き換えて実行します。形は次のとおりです。

ssh -i <privateKey> -N -L 1521:<db_private_ip>:1521 -p 22 <bastionHost>

このコマンドは終了しません。開いたまま、別の画面でSQLクライアントから localhost の1521番へ接続します。題材はTLS接続なので1521です。mTLSなら1522にします。

つながらないときの確認

次に読むページ

• ロードマップの次の項目：OS更新の通信を確かめる
• パスワードをコードに書かない方法：VaultとObject Storageを小さく使う
• 全体の順番：学習ロードマップ