Gli ingegneri di guardia devono accedere frequentemente alle istanze EC2 in una sottorete privata per la risoluzione dei problemi. Le istanze eseguono AMI AWS Windows correnti o Amazon Linux, e un ruolo IAM esiste già per l'autorizzazione. Quale soluzione garantisce agli ingegneri l'accesso utilizzando le autorizzazioni IAM su quel ruolo?

L'opzione corretta è aggiungere una policy al ruolo IAM che consenta ssm:StartSession e fare in modo che gli ingegneri utilizzino AWS Systems Manager Session Manager. Questo è il metodo più sicuro e scalabile per accedere alle istanze EC2 in una sottorete privata senza aprire porte di ingresso o esporre le istanze a Internet. Session Manager utilizza le credenziali IAM esistenti e non richiede chiavi SSH o RDP. Le altre opzioni sono meno ideali: Assegnare un Elastic IP e aprire i gruppi di sicurezza espone le istanze a Internet, aumentando il rischio di sicurezza e non è scalabile per molte istanze. Costruire un host bastion è una soluzione valida, ma richiede la gestione di un'istanza aggiuntiva e non sfrutta appieno le capacità di gestione senza agenti di Systems Manager. Distribuire un Network Load Balancer con accesso a Internet e inoltrare le porte 22/3389 espone le istanze a Internet e non è il metodo consigliato per l'accesso amministrativo sicuro.