あるスタートアップ企業は、プライベートサブネットでAmazon Linux 2 EC2インスタンスのフリートを運用しており、エンジニアはトラブルシューティングのためにSSHに依存しています。VPCにはプライベートサブネットとパブリックサブネット、NATゲートウェイ、オンプレミスへのSite-to-Site VPNがあります。現在のEC2セキュリティグループは、オンプレミスネットワークからの直接SSHを許可しています。同社は、より強力なSSH制御とエンジニアが実行するコマンドの監査を求めています。ソリューションアーキテクトはどの方法を推奨すべきですか？

このスタートアップ企業は、より強力なSSH制御とエンジニアが実行するコマンドの監査を求めています。Systems Manager Session Managerは、SSHポートを開放することなく、EC2インスタンスへのセキュアなアクセスを提供し、セッションのアクティビティを監査ログに記録できるため、これらの要件を満たします。 他の選択肢が不適切な理由は以下の通りです。 EC2 Instance ConnectはSSHアクセスを簡素化しますが、コマンドの監査機能はSession Managerほど強力ではありません。 エンジニアのデバイスIPアドレスにセキュリティグループを制限することは、セキュリティを向上させますが、動的なIPアドレスを持つエンジニアにとっては管理が困難であり、コマンドの監査要件を満たしません。 AWS ConfigとFirewall Managerはセキュリティグループの変更を追跡し修復しますが、SSH接続自体の監査機能は提供しません。