Entwickler benötigen sicheren SSH-Zugriff auf Amazon EC2-Instances, auf denen das neueste Amazon Linux läuft. Entwickler arbeiten remote und vom Firmenbüro aus. Die EC2-Instances befinden sich in einem privaten VPC-Subnetz und verwenden ein NAT-Gateway in einem öffentlichen Subnetz für den Internetzugang. Das Unternehmen bevorzugt die Nutzung von AWS-Services und möchte die Kosten minimieren. Was sollte ein Solutions Architect am KOSTENGÜNSTIGSTEN tun?

Die korrekte Antwort ist die kostengünstigste und sicherste Methode. AWS Systems Manager Session Manager (SSM Session Manager) ermöglicht sicheren und auditierbaren Zugriff auf EC2-Instances, ohne SSH-Schlüssel verwalten oder Bastion-Hosts bereitstellen zu müssen. Durch das Hinzufügen der IAM-Richtlinie AmazonSSMManagedInstanceCore zu einer IAM-Rolle, die den EC2-Instances zugewiesen ist, können Entwickler über die AWS Management Console, CLI oder SDK eine Verbindung herstellen. Dies eliminiert die Kosten für Bastion-Hosts und die Komplexität der VPN-Verwaltung. Die anderen Optionen sind weniger optimal: Das Erstellen eines Bastion-Hosts im selben Subnetz wie die EC2-Instances ist nicht praktikabel, da dieses Subnetz privat ist und keinen direkten externen Zugriff erlaubt. ec2:CreateVpnConnection ist für Site-to-Site VPNs gedacht, nicht für individuellen Entwicklerzugriff. Eine AWS Site-to-Site VPN-Verbindung ist teurer und komplexer einzurichten und zu verwalten, insbesondere für Remote-Mitarbeiter, die ein separates VPN benötigen würden. Das Erstellen eines Bastion-Hosts in einem öffentlichen Subnetz ist eine gängige Methode, aber teurer als SSM Session Manager, da es eine zusätzliche EC2-Instance und deren Wartung erfordert.