まだリリースされていませんが、ansible devel版ではaws_ssmプラグインが用意されています。これを使用することでsshの代わりにssm経由でリモートのEC2を管理できます。
なおsshさせないのであれば、鍵を置かないのではなく、sshdを停止させるべきです。
ステップ 7: (オプション) Session Managerを通して SSH 接続を有効にするで説明されていますが~/.ssh/config
に
host i-* mi-*
ProxyCommand sh -c "aws ssm start-session --target %h --document-name AWS-StartSSHSession --parameters 'portNumber=%p'"
等を記述することで実現できます。
この設定を行うとsshは直接EC2へ接続するのではなく、aws ssm start-session...
を実行します。すると、aws cliはAWS APIエンドポイントまではHTTPSで接続し、そこからEC2まではSSMで接続を行いトンネルを作成します。sshはそのトンネル内で通信するため、EC2 / VPCはポートを開ける必要がなくなります。
正確にはステップ 5: (オプション) PrivateLink を使用して Session Manager の VPC エンドポイントを設定するが必要ですが、既にSSMが使用できているようですのでその辺りは設定済みと思われます。