Uma empresa executa um aplicativo de ingestão de dados confidenciais em várias contas da AWS (no AWS Organizations). As instâncias EC2 em grupos do Auto Scaling usam uma AMI personalizada e não têm acesso à internet; os VPC endpoints necessários estão em vigor. Os administradores precisam de acesso automatizado e controlado centralmente para fazer login nas instâncias para manutenção e solução de problemas, e a equipe de segurança deve ser notificada sempre que as instâncias forem acessadas. Qual solução satisfaz esses requisitos?

A opção correta atende a todos os requisitos. O EC2 Image Builder reconstrói a AMI com o SSM Agent, essencial para o Systems Manager. A função AmazonSSMManagedInstanceCore concede as permissões necessárias para as instâncias se comunicarem com o SSM. O Session Manager permite acesso seguro sem internet, e o registro de sessão para o S3, combinado com uma notificação de evento do S3 para o SNS, garante a auditoria e notificação de segurança. As outras opções falham em pontos cruciais: A primeira opção sugere o EC2 Instance Connect, que exige acesso à internet ou endpoints adicionais não mencionados para conectividade, e modificar rotas da VPC para acesso externo é inseguro para dados confidenciais. A segunda opção introduz um NAT Gateway e bastion host, que são desnecessários e adicionam complexidade e pontos de falha de segurança, além de não serem a solução mais segura para instâncias sem acesso à internet. A quarta opção usa o AWS Config para anexar um SCP, o que é uma abordagem incorreta para conceder permissões a instâncias; isso é feito via perfis de instância (IAM roles).