Une entreprise de recherche exécute quotidiennement des simulations sur des centaines d'instances Amazon Linux 2 EC2. Occasionnellement, une instance nécessite qu'un ingénieur s'y connecte via SSH pour résoudre une simulation bloquée. La politique de sécurité exige qu'aucune paire d'instances EC2 ne partage la même clé SSH et que toutes les connexions SSH soient enregistrées dans AWS CloudTrail. Comment un architecte de solutions peut-il répondre à ces exigences ?

La bonne réponse est de lancer des instances EC2 sans clés SSH préinstallées et d'activer EC2 Instance Connect. Cette approche répond aux exigences de sécurité car EC2 Instance Connect permet de se connecter aux instances sans stocker de clés SSH à long terme. Chaque connexion utilise une clé éphémère d'une minute, garantissant qu'aucune paire d'instances ne partage la même clé. L'action SendSSHPublicKey est enregistrée dans CloudTrail, satisfaisant l'exigence de journalisation. Les ingénieurs peuvent utiliser le client SSH basé sur un navigateur ou leur propre client SSH après avoir envoyé la clé publique via l'API. Les autres options impliquent la gestion manuelle ou semi-automatisée de clés SSH, ce qui est moins sécurisé et plus complexe à gérer à grande échelle, et ne garantit pas la journalisation de toutes les connexions SSH via CloudTrail de manière native.