一家公司在 Amazon EC2 实例上运行一个处理机密客户数据的应用程序。该公司必须限制访问，并且不允许开放入站端口、维护堡垒主机或管理 SSH 密钥。一名安全工程师需要安全访问这些实例，并希望捕获、存储和访问完全加密的会话日志。哪种解决方案符合这些要求？

正确答案是使用 AWS Systems Manager Session Manager 连接到 EC2 实例，配置 Amazon CloudWatch 日志记录，启用会话日志上传，并且只允许加密的 CloudWatch Logs 日志组。Session Manager 允许安全地访问 EC2 实例，无需开放入站端口、堡垒主机或管理 SSH 密钥，完全符合题目要求。它还支持将会话日志发送到加密的 CloudWatch Logs，满足日志加密和存储的要求。 其他选项不正确的原因： AWS Control Tower 主要用于多账户环境的治理和合规性，不直接用于连接 EC2 实例。 AWS Security Hub 是一个安全态势管理服务，用于聚合和分析安全发现，不用于连接 EC2 实例。 选项中提到“配置 Amazon CloudWatch 监控以记录会话”不准确，应该是配置 CloudWatch Logs 进行日志记录，且未明确指出日志加密，不完全符合要求。