Uma empresa tem instâncias EC2 Linux que os usuários acessam via SSH com pares de chaves SSH do EC2. Cada instância deve ter um par de chaves EC2 exclusivo. A empresa exige um processo de rotação automática sob demanda que rotacione todos os pares de chaves EC2 e armazene as chaves de forma segura e criptografada. A empresa pode tolerar menos de um minuto de inatividade durante a rotação. Qual solução satisfaz esses requisitos?

A opção correta utiliza o AWS Secrets Manager para armazenar as chaves privadas de forma segura e criptografada, atendendo ao requisito de segurança. A funcionalidade de rotação automática do Secrets Manager, combinada com uma função AWS Lambda, permite gerar novos pares de chaves SSH, atualizar as chaves públicas nas instâncias EC2 e armazenar as novas chaves privadas, tudo de forma automatizada e sob demanda. A tolerância a menos de um minuto de inatividade é gerenciável com essa abordagem, pois a rotação pode ser orquestrada para minimizar o impacto. As outras opções são menos adequadas: Armazenar chaves privadas no Systems Manager Parameter Store como strings simples não é a prática mais segura, pois o Secrets Manager é projetado especificamente para segredos. O AWS KMS gerencia chaves de criptografia, não pares de chaves SSH diretamente, e não oferece rotação automática para pares de chaves SSH importados. O Fleet Manager e o Run Command podem executar comandos nas instâncias, mas não fornecem um mecanismo nativo para a rotação segura e automatizada de pares de chaves SSH com armazenamento centralizado e criptografado como o Secrets Manager.