まだリリースされていませんが、ansible devel版では[aws_ssmプラグイン][1]が用意されています。これを使用することでsshの代わりにssm経由でリモートのEC2を管理できます。

なおsshさせないのであれば、鍵を置かないのではなく、sshdを停止させるべきです。

---

[ステップ 7: (オプション) Session Managerを通して SSH 接続を有効にする][2]で説明されていますが`~/.ssh/config`に

```
host i-* mi-*
    ProxyCommand sh -c "aws ssm start-session --target %h --document-name AWS-StartSSHSession --parameters 'portNumber=%p'"
```

等を記述することで実現できます。

この設定を行うとsshは直接EC2へ接続するのではなく、`aws ssm start-session...`を実行します。すると、aws cliはAWS APIエンドポイントまではHTTPSで接続し、そこからEC2まではSSMで接続を行いトンネルを作成します。sshはそのトンネル内で通信するため、EC2 / VPCはポートを開ける必要がなくなります。

正確には[ステップ 5: (オプション) PrivateLink を使用して Session Manager の VPC エンドポイントを設定する][3]が必要ですが、既にSSMが使用できているようですのでその辺りは設定済みと思われます。


  [1]: https://docs.ansible.com/ansible/devel/plugins/connection/aws_ssm.html
  [2]: https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/session-manager-getting-started-enable-ssh-connections.html
  [3]: https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/session-manager-getting-started-privatelink.html