パブリックサブネットにある場合
1．SSMエージェントをEC2インスタンスにインストール
※Amazon Linuxは事前にSSMエージェントがインストールされている
2．AmazonEC2RoleforSSMポリシーを付与したロールを作成し、EC2に付与する
3．System Managerを開き、左ペインにある「セッションマネージャー」をクリック、「セッションの開始」をクリックし、対象のインスタンスを選択する
すごく簡単です。
プライベートサブネットの場合
1．SSMエージェントをEC2インスタンスにインストール
※Amazon Linuxは事前にSSMエージェントがインストールされている
2．AmazonEC2RoleforSSMポリシーを付与したロールを作成し、EC2に付与する
3．以下4つのエンドポイントを作成（System Managerが利用する）
com.amazonaws.region.ssm
com.amazonaws.region.ec2messages
com.amazonaws.region.ssmmessages
com.amazonaws.region.s3
適用するセキュリティグループには
HTTPSを許可したインバウンドルールが必要
またcom.amazonaws.region.s3のポリシーはフルアクセスにする（デフォルト）
4．System Managerを開き、左ペインにある「セッションマネージャー」をクリック、「セッションの開始」をクリックし、対象のインスタンスを選択する
少し面倒ですが、これでプライベートサブネットにあるEC2インスタンスにアクセスできます。
参考の記事（AWSのナレッジセンター）ではs3のエンドポイントについて触れていないが、
com.amazonaws.region.s3のGatewayを作成することでログインが可能となる。
【参考】
Systems Manager を使用してインターネットアクセスなしでプライベート EC2 インスタンスを管理できるように、VPC エンドポイントを作成するにはどうすればよいですか？
https://aws.amazon.com/jp/premiumsupport/knowledge-center/ec2-systems-manager-vpc-endpoints/