为何使用Session Manager连接私有RDS需EC2中转？求相关说明文档

核心差异：SSM Agent的存在与否 #

• 私有EC2的情况：EC2实例上默认（或可手动安装）运行AWS SSM Agent，这个Agent会主动和AWS Session Manager服务建立反向出站连接（只要EC2能访问SSM的服务端点，比如通过VPC端点或NAT网关走公网）。本地客户端通过AWS CLI/控制台和Session Manager服务交互后，就能借助这个已建立的反向通道直接做端口转发，不需要额外堡垒机中转。
• 私有RDS的情况：RDS是AWS托管的数据库服务，没有内置SSM Agent，也不支持直接和Session Manager服务建立连接通道。Session Manager无法直接与RDS构建通信链路，因此必须借助一台处于可访问RDS的子网、且运行了SSM Agent的EC2实例作为中转——本地先通过Session Manager连接到这台EC2，再通过EC2的端口转发能力访问RDS。

补充说明 #

• 用作中转的EC2不需要公网IP，只要它能访问SSM服务端点（用于和Session Manager通信），同时能访问目标RDS实例（通过安全组、子网路由配置）即可。
• 这种中转方式本质是利用EC2作为跳板，借助Session Manager的安全通道完成本地到EC2的连接，再通过EC2到RDS的内网连接完成数据传输，全程不需要暴露RDS或EC2到公网。

内容的提问来源于stack exchange，提问作者vignesh