🔑 धडा 09 — Connecting: दाराची चावी विरुद्ध सोबतीने केलेली भेट

📍 तुम्ही इथे आहात: 12 पैकी धडा 09 · मागे: lesson-08-types-pricing · पुढे: lesson-10-security-groups

📦 या ब्रँचमध्ये काय आहे

धडे 01–08, आणि त्यासोबत: तुमच्या बाकावर shell मिळवणे — क्लासिक मार्ग (SSH + key pairs) आणि आधुनिक मार्ग (SSM Session Manager).

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

तुमच्या बाकाला screen नाही — मग तुम्ही त्यावर बसणार कसे? इमारतीत जाण्याचे दोन मार्ग:

मार्ग 1 — दाराची चावी 🔑 (SSH). बाक भाड्याने घेताना तुम्ही AWS ला एक कुलूप देता (तुमची public key); AWS ते बाकाला पक्के बसवते. त्याला जुळणारी चावी (तुमची private key) तुमचा खिसा कधीच सोडत नाही. दार 22 वर या, तुमची चावी तुमच्या कुलपाला बसते, तुम्ही आत.

लोकांना चावणाऱ्या बारीक अटी:

Private key हरवली → तुम्हाला कोणीच आत घेऊ शकत नाही ("forgot password" नाही).
ती सहकाऱ्याला दिली → धडा 01 मधला shared-card चा आजार परत येतो.
आणि दार 22 तुमच्यासाठी उघडे असायला हवे (पाहुण्यांच्या यादीतील एक नोंद — धडा 10), म्हणजे संपूर्ण internet ला ठोठवायला आवडणारे आणखी एक दार.

मार्ग 2 — सोबतीने केलेली भेट 🛗 (SSM Session Manager). उघडे दारच नाही. तुम्ही पुढच्या कार्यालयाला विचारता (AWS चा API, जो तुमचे IAM कार्ड तपासतो); कार्यालय बाकाच्या अंगभूत सहाय्यकाला फोन करते (SSM agent, ज्याला धडा 05 मधली बाकाची टोपी परवानगी देते); सहाय्यक तुम्हाला कर्मचाऱ्यांच्या corridor मधून आत घेऊन जातो. Port नाही, key file नाही, आणि नोंदवही संपूर्ण भेट नोंदवते — शाळेला हवे असेल तर keystrokes सुद्धा.

आधुनिक default: SSM. झटपट वैयक्तिक labs साठी (तुमच्या IP पुरते मर्यादित) आणि भरपूर file-copy असलेल्या कामांसाठी SSH उत्तमच राहतो.

🗺️ आकृती

flowchart LR
    subgraph ssh["🔑 way 1: SSH"]
        key["private key - your pocket<br/>public key - on the desk"]
        p22["🚪 port 22 open<br/>(only to YOUR IP!)"]
    end
    subgraph ssm["🛗 way 2: SSM"]
        api["front office: AWS API<br/>checks your IAM card"]
        agent["desk assistant: SSM agent<br/>authorized by the desk's hat 🎩"]
    end
    desk["🖥️ a shell on the desk"]
    key --> p22 -->|"1 classic"| desk
    api --> agent -->|"2 no open door, audited"| desk

❓ काय

Key pair = asymmetric crypto: public key (share करता येणारी, instance वर), private key (गुप्त, तुमची). तुमची private key AWS कडे कधीच नसते.
SSM ला लागते: agent (Amazon Linux वर आधीच installed) + SSM ला परवानगी देणारा instance role (AmazonSSMManagedInstanceCore) + तुमची IAM परवानगी. लक्षात घ्या: दोन्ही बाजू IAM ने authorize होतात — भाग 1 चे फळ मिळते.
SSM चे बोनस: public IP नसलेल्या बाकांवर चालते, bastion hosts ची जागा घेते, corridor मधून port-forward करते, sessions नोंदवता येतात.

🤔 का

"जगासाठी port 22 उघडा + shared pem file" हे internet वरचे सर्वात जास्त हल्ले होणारे दार आहे — पृथ्वीवरचा प्रत्येक scanner काही मिनिटांत ठोठावतो. IAM ने तपासलेला, उघडे दार नसलेला मार्ग म्हणजेच security teams ज्याला "zero inbound" म्हणतात. दोन्ही माहीत असले की तुम्ही परिस्थितीनुसार योग्य निवड कराल.

🧪 करून पाहा (~10 मिनिटे, ~1¢)

cd ec2 && terraform apply -var my_ip=$(curl -s ifconfig.me)/32   # desk up (lesson 07)

# --- way 2 first: SSM, no key, no open door needed ---
aws ssm start-session --target $(aws ec2 describe-instances \
  --filters Name=tag:Name,Values=school-desk Name=instance-state-name,Values=running \
  --query 'Reservations[0].Instances[0].InstanceId' --output text)
# you're IN. try:  hostname ; whoami ; exit
# (works because ec2.tf attached AmazonSSMManagedInstanceCore to the desk's hat? —
#  if the session refuses: that's your homework, add it to the role 😉)

# --- way 1: classic SSH (needs a key pair added to ec2.tf as an exercise) ---
# ssh -i my-key.pem ec2-user@$(terraform output -raw public_ip)

# 🧹 the lab rule:
terraform destroy -var my_ip=$(curl -s ifconfig.me)/32

✅ तपासा — तुम्हाला काय दिसायला हवे

aws ssm start-session --target i-… security group मध्ये port 22 उघडा नसताना तुम्हाला shell मध्ये नेतो.

🧹 साफसफाई — काहीही चालू ठेवू नका

terraform destroy; तुलनेसाठी key pair बनवली असेल तर ती delete करा

⚠️ नेहमीच्या चुका

0.0.0.0/0 साठी port 22 उघडा — क्लासिक honeypot
संपूर्ण team ने वाटून घेतलेली एकच private key file
instance role ला SSM policy नसल्याने SSM 'चालत नाही' — हा IAM चा प्रश्न आहे, networking चा नाही

⏭️ पुढे

तो "फक्त तुमच्या IP वरून" दाराचा नियम स्वतंत्र धड्यास पात्र आहे: security groups — द्वारपालाची पाहुण्यांची यादी.

git checkout lesson-10-security-groups

🔑 Lesson 09 — Connecting: the door key vs the escorted visit

📍 You are here: Lesson 09 of 12 · Previous: lesson-08-types-pricing · Next: lesson-10-security-groups

📦 What's in this branch

Lessons 01–08, plus: getting a shell on your desk — the classic way (SSH + key pairs) and the modern way (SSM Session Manager).

🧒 Explain like I'm 5

Your desk has no screen — so how do you sit at it? Two ways into the building:

Way 1 — the door key 🔑 (SSH). When renting the desk you hand AWS a padlock (your public key); AWS bolts it to the desk. The matching key (your private key) never leaves your pocket. Show up at door 22, your key fits your padlock, you're in.

Fine print that bites people:

Lose the private key → nobody can let you in (no "forgot password").
Share it with a teammate → lesson 01's shared-card disease returns.
And door 22 must be open to you (a guest-list entry — lesson 10), which is one more door the whole internet loves to knock on.

Way 2 — the escorted visit 🛗 (SSM Session Manager). No open door at all. You ask the front office (AWS's API, checking your IAM card); the office phones the desk's built-in assistant (the SSM agent, which the desk's hat from lesson 05 authorizes); the assistant walks you in through the staff corridor. No port, no key file, and the logbook records the whole visit — keystrokes included, if the school wants.

Modern default: SSM. SSH remains great for quick personal labs (locked to YOUR IP) and file-copy-heavy workflows.

🗺️ Diagram

flowchart LR
    subgraph ssh["🔑 way 1: SSH"]
        key["private key - your pocket<br/>public key - on the desk"]
        p22["🚪 port 22 open<br/>(only to YOUR IP!)"]
    end
    subgraph ssm["🛗 way 2: SSM"]
        api["front office: AWS API<br/>checks your IAM card"]
        agent["desk assistant: SSM agent<br/>authorized by the desk's hat 🎩"]
    end
    desk["🖥️ a shell on the desk"]
    key --> p22 -->|"1 classic"| desk
    api --> agent -->|"2 no open door, audited"| desk

❓ What

Key pair = asymmetric crypto: public key (shareable, on instance), private key (secret, yours). AWS never has your private key.
SSM needs: the agent (pre-installed on Amazon Linux) + the instance role allowing SSM (AmazonSSMManagedInstanceCore) + your IAM permission. Notice: both sides authorize via IAM — Part 1 pays off.
SSM bonuses: works on desks with no public IP, replaces bastion hosts, port-forwards through the corridor, sessions loggable.

🤔 Why

"Open port 22 to the world + shared pem file" is the most attacked doorway on the internet — every scanner on Earth knocks within minutes. The IAM-checked, no-open-door path is what security teams mean by "zero inbound". Knowing both, you'll pick correctly per situation.

🧪 Try it (~10 min, ~1¢)

cd ec2 && terraform apply -var my_ip=$(curl -s ifconfig.me)/32   # desk up (lesson 07)

# --- way 2 first: SSM, no key, no open door needed ---
aws ssm start-session --target $(aws ec2 describe-instances \
  --filters Name=tag:Name,Values=school-desk Name=instance-state-name,Values=running \
  --query 'Reservations[0].Instances[0].InstanceId' --output text)
# you're IN. try:  hostname ; whoami ; exit
# (works because ec2.tf attached AmazonSSMManagedInstanceCore to the desk's hat? —
#  if the session refuses: that's your homework, add it to the role 😉)

# --- way 1: classic SSH (needs a key pair added to ec2.tf as an exercise) ---
# ssh -i my-key.pem ec2-user@$(terraform output -raw public_ip)

# 🧹 the lab rule:
terraform destroy -var my_ip=$(curl -s ifconfig.me)/32

✅ Verify — what you should see

aws ssm start-session --target i-… drops you into a shell with no port 22 open in the security group.

🧹 Clean up — do not leave running

terraform destroy; delete the key pair if you created one for comparison

⚠️ Common mistakes

port 22 open to 0.0.0.0/0 — the classic honeypot
one team-shared private key file
SSM 'not working' because the instance role lacks the SSM policy — it's IAM, not networking

⏭️ Next

That "only from YOUR IP" door rule deserves its own lesson: security groups — the gatekeeper's guest list.

git checkout lesson-10-security-groups

← Previoustypes pricing Next →security groups

This page is the lesson's README from the lesson-09-connecting branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.