Uma empresa precisa gerenciar instâncias Amazon EC2 a partir da linha de comando para hosts Linux e Windows. As instâncias EC2 estão em um ambiente sem acesso à internet. O controle de acesso baseado em função deve ser aplicado para o gerenciamento de instâncias. O ambiente on-premises da empresa é autônomo. Qual abordagem atende a esses requisitos com o menor overhead operacional?

A opção correta é usar o AWS Systems Manager Session Manager com VPC endpoints. O SSM Agent permite o gerenciamento de instâncias sem acesso direto à internet, pois a comunicação ocorre através dos VPC endpoints para o serviço Systems Manager, mantendo o tráfego dentro da rede AWS e do ambiente on-premises via Direct Connect ou VPN (não especificado, mas implícito para o acesso inicial ao SSM). Isso atende ao requisito de ambiente sem acesso à internet e controle de acesso baseado em função (IAM). O Session Manager é a ferramenta ideal para acesso à linha de comando. As outras opções são menos eficientes ou não atendem a todos os requisitos: Direct Connect (ou Site-to-Site VPN) fornece conectividade, mas não resolve o gerenciamento de instâncias sem acesso à internet de forma nativa e segura como o SSM, exigindo outras ferramentas para acesso à linha de comando. Um jump host com IP público expõe um ponto de entrada à internet, o que é contra o requisito de ambiente sem acesso à internet e aumenta o overhead operacional e de segurança.