Ein Forschungsunternehmen führt täglich Simulationen auf Hunderten von Amazon Linux 2 EC2-Instances durch. Gelegentlich muss ein Ingenieur per SSH auf eine Instance zugreifen, um eine festgefahrene Simulation zu beheben. Die Sicherheitsrichtlinie verlangt, dass keine zwei EC2-Instances denselben SSH-Schlüssel verwenden und dass alle SSH-Verbindungen in AWS CloudTrail protokolliert werden. Wie kann ein Solutions Architect diese Anforderungen erfüllen?

Die korrekte Option erfüllt alle Anforderungen. EC2 Instance Connect ermöglicht es Ingenieuren, sich über die AWS-Konsole mit Instances zu verbinden, ohne SSH-Schlüssel manuell zu verwalten. Die Aktion SendSSHPublicKey von EC2 Instance Connect injiziert einen kurzlebigen SSH-Schlüssel, der für jede Verbindung eindeutig ist, wodurch die Anforderung "keine zwei EC2-Instances verwenden denselben SSH-Schlüssel" erfüllt wird. Alle Verbindungen über EC2 Instance Connect werden automatisch in CloudTrail protokolliert. Die anderen Optionen sind weniger geeignet: Das Generieren und Speichern eindeutiger SSH-Schlüssel pro Instance in Secrets Manager ist umständlich und skaliert schlecht bei Hunderten von Instances. Das Erstellen eines Systems Manager-Dokuments zum Festlegen von SSH-Schlüsseln erfordert weiterhin die manuelle Verteilung und Verwaltung dieser Schlüssel. Die Option mit Lambda und Secrets Manager zur Schlüsselrotation ist zu komplex und unnötig, da EC2 Instance Connect eine einfachere und sicherere Lösung bietet.