Los ingenieros de guardia deben acceder con frecuencia a las instancias EC2 en una subred privada para la resolución de problemas. Las instancias ejecutan AMIs de AWS Windows actuales o Amazon Linux, y ya existe un rol de IAM para la autorización. ¿Qué solución otorga acceso a los ingenieros mediante el uso de permisos de IAM en ese rol?

La opción correcta es usar AWS Systems Manager Session Manager. Al agregar la política ssm:StartSession al rol de IAM existente, los ingenieros pueden asumir ese rol y conectarse de forma segura a las instancias EC2 en la subred privada sin necesidad de abrir puertos de entrada en los grupos de seguridad, usar claves SSH o asignar direcciones IP públicas. Session Manager es una solución segura y auditable que funciona con instancias en subredes privadas y públicas, y es compatible con AMIs de Windows y Amazon Linux. Las otras opciones son incorrectas porque: Asignar Elastic IPs y abrir puertos directamente a las instancias aumenta la superficie de ataque y no es una práctica recomendada para subredes privadas. Crear un host bastión es una solución viable, pero la política ec2:CreateVpnConnection no es la adecuada para conectarse a través de un bastión; además, Session Manager ofrece una alternativa más sencilla y segura. Un Network Load Balancer no es apropiado para el acceso directo de resolución de problemas a instancias individuales y la política ec2:CreateRoute no facilita la conexión directa a las instancias.