Una empresa ejecuta aplicaciones en una cuenta de AWS Organizations y subcontrata el soporte operativo a ingenieros externos. La empresa debe otorgar a los ingenieros externos acceso a la Consola de administración de AWS y acceso al sistema operativo a las instancias de Amazon EC2 (Amazon Linux) en subredes privadas, sin comprometer la seguridad. ¿Qué solución cumple estos requisitos de la manera MÁS segura?

La opción correcta es la más segura porque utiliza AWS IAM Identity Center (anteriormente AWS SSO) para la autenticación centralizada y federada de los ingenieros externos, eliminando la necesidad de credenciales de IAM locales en cada cuenta. Además, emplea AWS Systems Manager Session Manager para el acceso a las instancias EC2. Session Manager no requiere puertos SSH abiertos en los grupos de seguridad, pares de claves SSH ni hosts bastión, lo que reduce drásticamente la superficie de ataque y permite el acceso a instancias en subredes privadas sin exponerlas directamente a internet. El SSM Agent y el perfil de instancia con la política necesaria son fundamentales para que Session Manager funcione. Las opciones incorrectas implican: Usar credenciales de IAM locales, lo cual es menos seguro y más difícil de gestionar para múltiples cuentas. Abrir puertos SSH y gestionar pares de claves, lo que aumenta la superficie de ataque y la complejidad de la gestión de seguridad. Implementar un host bastión, que aunque es una mejora sobre el acceso directo, sigue siendo un punto de entrada que debe ser gestionado y asegurado, y Session Manager ofrece una alternativa sin servidor y más segura.