Les développeurs ont besoin d'un accès SSH sécurisé aux instances Amazon EC2 exécutant la dernière version d'Amazon Linux. Les développeurs travaillent à distance et depuis le bureau de l'entreprise. Les instances EC2 se trouvent dans un sous-réseau privé de VPC et utilisent une passerelle NAT dans un sous-réseau public pour l'accès à Internet. L'entreprise préfère utiliser les services AWS et minimiser les coûts. Que doit faire un architecte de solutions de la manière la plus rentable possible ?

La solution la plus rentable et la plus sécurisée est d'utiliser AWS Systems Manager Session Manager. En attachant la politique IAM AmazonSSMManagedInstanceCore au rôle IAM des instances EC2, Session Manager permet un accès SSH sécurisé sans ouvrir de ports entrants sur les groupes de sécurité des instances, éliminant ainsi le besoin d'un hôte bastion ou de clés SSH gérées manuellement. Cela réduit la surface d'attaque et simplifie la gestion des accès. Les développeurs peuvent se connecter depuis n'importe où via la console AWS ou la CLI, sans VPN. Les autres options sont moins optimales : Un hôte bastion dans le même sous-réseau privé ne fonctionnerait pas car il ne serait pas accessible de l'extérieur. AWS Site-to-Site VPN est coûteux et complexe à gérer, et ne couvre pas l'accès à distance des développeurs. Un hôte bastion dans le sous-réseau public est une solution viable mais plus coûteuse et moins sécurisée que Session Manager, car elle nécessite la gestion de clés SSH et l'exposition d'un serveur SSH à Internet.