Uma empresa de pesquisa executa simulações diárias em centenas de instâncias Amazon Linux 2 EC2. Ocasionalmente, uma instância exige que um engenheiro acesse via SSH para resolver uma simulação travada. A política de segurança exige que nenhuma das instâncias EC2 compartilhe a mesma chave SSH e que todas as conexões SSH sejam registradas no AWS CloudTrail. Como um arquiteto de soluções pode atender a esses requisitos?

A opção correta é iniciar instâncias EC2 sem chaves SSH pré-instaladas e habilitar o EC2 Instance Connect. Isso permite que os engenheiros usem a ação SendSSHPublicKey do IAM para enviar uma chave SSH efêmera para a instância, que é válida por 60 segundos. Essa abordagem atende ao requisito de chaves SSH exclusivas por instância e registra as conexões no CloudTrail, pois a chamada SendSSHPublicKey é registrada. O cliente SSH baseado em navegador do console EC2 simplifica o processo. As outras opções são menos ideais: Gerar uma chave SSH exclusiva por instância e armazená-la no Secrets Manager é complexo para gerenciar e distribuir, e não garante a rotação ou exclusividade efêmera. Criar um documento do Systems Manager para definir uma nova chave SSH exige que o engenheiro execute um comando adicional e gerencie a chave localmente. Armazenar chaves SSH no Secrets Manager e usar uma função Lambda para rotação e definição via Session Manager adiciona complexidade desnecessária e não se alinha com a simplicidade e segurança do EC2 Instance Connect para este caso de uso.