Uma startup executa uma frota de instâncias EC2 Amazon Linux 2 em sub-redes privadas, e os engenheiros dependem de SSH para solução de problemas. A VPC tem sub-redes públicas e privadas, um NAT gateway e uma VPN Site-to-Site para o ambiente on-premises. Os grupos de segurança EC2 atuais permitem SSH direto da rede on-premises. A empresa deseja controles SSH mais fortes e auditoria dos comandos executados pelos engenheiros. Qual abordagem um arquiteto de soluções deve recomendar?

A opção correta é criar uma função IAM com a política AmazonSSMManagedInstanceCore e anexá-la às instâncias EC2, removendo as regras de segurança para a porta 22 e exigindo o uso do Session Manager. Isso fornece controle de acesso granular via IAM, elimina a necessidade de abrir portas SSH diretamente, e o Session Manager registra automaticamente as sessões e comandos no CloudWatch Logs ou S3, atendendo aos requisitos de auditoria e segurança. As outras opções são menos eficazes: O EC2 Instance Connect permite acesso SSH, mas não oferece a mesma auditoria detalhada de comandos que o Session Manager. Restringir o SSH por IP dos engenheiros ainda expõe a porta 22 e não fornece auditoria de comandos. Habilitar o AWS Config e Firewall Manager para grupos de segurança é uma boa prática, mas não resolve a auditoria de comandos dentro das sessões SSH.