はじめに
今日は、AWS 上に 電子カルテアプリを載せるための Windows Server を再構築する作業 を行いました。
元となるサーバはすでに別用途で構築済みで、それを AMIコピーして流用する ところからスタート。
ただ、コピーしただけではアプリや設定が残ってしまうため、
「クリーンで、SSM だけで完全管理できる Windows Server テンプレート」
を作ることを目的に作業しました。
この記事では、その再構築の流れを記録としてまとめます。
■ 1. AMI コピーからの新規 EC2 起動
まず、既存サーバの AMI をもとに新しいインスタンスを起動しました。
- インスタンスタイプ：t2.medium
- セキュリティグループ：インバウンドなし（後でRDP削除）
- キーペア：既存のものを流用
- IAM ロール：Systems Manager が動作するロールを再割り当て
これにより、元サーバと同じ構成をもったインスタンス が立ち上がります。
■ 2. コピー元アプリ（RSBASE など）の完全削除
AMI コピー元には、もともとテスト用途のアプリが入っていたため、
新しいサーバではこれをすべて削除し、電子カルテ用サーバとしてクリーンにしました。
- RSBASE のアンインストール
- 対応フォルダの削除
- 残存レジストリの確認（不要なものをクリア）
この時点で、
“アプリが何も入っていない、空の Windows Server”
の状態に戻りました。
■ 3. ディスク構成の整理（Cドライブ + Dドライブ）
コピーされたサーバは C:80GB / E:20GB の構成でしたが、
内容を削除したため E ドライブをフォーマットし、新しい D ドライブとして再構成。
結果：
- Cドライブ：80GB
- Dドライブ：20GB（アプリやログ用に利用）
※Cドライブは80GBより縮小できないため、今回は現状維持。
ここは将来的に「スリム版テンプレート」を作るときに再検討します。
■ 4. Session Manager（SSM）が動作しない問題の修復
AMI コピー直後は SSM Agent がオフライン になっており、
Session Manager で接続できない状態でした。
PowerShell で確認すると amazon-ssm-agent.exe がうまく動いていない。
そこで以下の対処を実施：
- TLS 1.2 の有効化
- 正式 URL から SSM Agent を再インストール
- サービス再起動
- IAM ロールの再割り当て確認
再インストールコマンド例：
$installer = "$env:TEMP\AmazonSSMAgentSetup.exe"
Invoke-WebRequest "https://s3.ap-northeast-1.amazonaws.com/amazon-ssm-ap-northeast-1/latest/windows_amd64/AmazonSSMAgentSetup.exe" -OutFile $installer
Start-Process $installer -ArgumentList "/S" -Wait
Restart-Service AmazonSSMAgent
これで SSM がオンラインに復帰。
Session Manager 接続が無事成功しました。
■ 5. RDP ポートを完全に閉じる（インバウンド0）
SSM が動作した時点で、RDP は管理上不要となったため、
セキュリティグループの 3389 を削除。
結果：
- インバウンド完全ゼロ
- Session Manager のみで管理
- 医療機関でも安心して使えるセキュア構成
AWS が推奨する「RDP を開けない運用」が実現しました。
■ 6. Session Manager での RDP（ポートフォワード）も同時検証
必要に応じて RDP を使う場合は、
Session Manager の ポートフォワード で利用できることも確認。
例：
aws ssm start-session \
--target i-xxxxxxx \
--document-name AWS-StartPortForwardingSession \
--parameters '{"portNumber":["3389"],"localPortNumber":["23389"]}'
これにより、
- EC2 → 3389
- ローカル → 23389
のトンネルが張られ、localhost:23389 を RDP クライアントに入力すると GUI ログインが可能。
重要なのは、
AWS側の設定変更は不要で、ローカルポートを変えるだけで複数サーバへ同時接続できる
という点。
■ 7. 電カル用の “初期 Windows Server AMI” を最終作成
すべての不要要素を削ぎ落とし、SSMの動作も安定したタイミングで、
- Windows Update 済み
- インバウンド0
- SSMのみで管理可能
- 余計なアプリなし
- ディスク整理済み
という 理想的な“初期テンプレート” の状態が完成。
この状態を改めて AMI 化し、今後
電子カルテサーバの標準構築テンプレート
として利用できるようにしました。
■ まとめ
今回の作業で、
「爽快なまでに真っさらな Windows Server」
「SSMのみで完全管理できるセキュア構成」
「即量産できる初期AMI」
の3つが完成しました。
電子カルテ、医療アプリ、オンプレ連携など、
どんな用途にも適用できる理想的なベースサーバが手に入りました。
今後は、このテンプレートを軸に構築を加速していきます。