某公司拥有数百个基于 Linux 的 Amazon EC2 实例。管理员曾使用共享 SSH 密钥来管理这些实例，但审计要求移除所有共享密钥。哪种解决方案能以最少的管理开销提供安全访问？

使用 AWS Systems Manager Session Manager (会话管理器) 连接 EC2 实例是最佳选择，因为它无需开放入站 SSH 端口，不涉及管理 SSH 密钥，且支持精细的 IAM 权限控制，显著降低了管理开销并提升了安全性。会话管理器通过 SSM Agent 与 EC2 实例通信，无需用户直接管理密钥。 使用 AWS STS 按需生成一次性 SSH 密钥虽然提高了安全性，但仍需要管理密钥分发和撤销，增加了操作复杂性。允许共享 SSH 访问堡垒实例并限制其他实例访问，虽然改善了安全态势，但仍依赖于 SSH 密钥管理，且堡垒机本身也需要维护和加固。使用 Amazon Cognito 和 Lambda 生成临时 SSH 密钥是一个复杂的自定义解决方案，管理开销远高于会话管理器，且需要额外的开发和维护工作。