开发人员需要安全地通过 SSH 访问运行最新 Amazon Linux 的 Amazon EC2 实例。开发人员远程办公和在公司办公室办公。EC2 实例位于 VPC 私有子网中，并使用公有子网中的 NAT 网关进行互联网访问。公司倾向于使用 AWS 服务并最大限度地降低成本。解决方案架构师应如何做才能实现最高的成本效益？

正确答案是使用 AWS Systems Manager Session Manager。将 AmazonSSMManagedInstanceCore IAM 策略附加到 EC2 实例的 IAM 角色后，开发人员可以通过 Session Manager 安全地访问实例，无需开放入站端口、管理 SSH 密钥或部署堡垒机。Session Manager 是一种无服务器、完全托管的服务，通过 AWS 控制台或 CLI 提供对实例的基于浏览器的交互式 shell 访问，且不产生额外费用，因此具有成本效益。 其他选项不正确： 在私有子网中创建堡垒机不合理，因为它需要额外的配置才能从外部访问，且堡垒机本身会产生费用。授予 ec2:CreateVpnConnection 权限与 SSH 访问无关。 创建 Site-to-Site VPN 成本较高，且需要额外的网络配置，不适用于远程办公的开发人员。 在公有子网中创建堡垒机虽然可行，但堡垒机需要持续运行，会产生额外的计算成本和管理开销，不如 Session Manager 经济高效且管理简单。