온콜 엔지니어는 문제 해결을 위해 프라이빗 서브넷의 EC2 인스턴스에 자주 액세스해야 합니다. 인스턴스는 현재 AWS Windows AMI 또는 Amazon Linux를 실행하며, 권한 부여를 위한 IAM 역할이 이미 존재합니다. 이 역할을 사용하여 IAM 권한으로 엔지니어에게 액세스 권한을 부여하는 솔루션은 무엇입니까?

AWS Systems Manager Session Manager는 프라이빗 서브넷의 EC2 인스턴스에 안전하게 액세스할 수 있는 가장 좋은 방법입니다. 이 방법은 인바운드 포트를 열거나 배스천 호스트를 배포할 필요 없이 인스턴스에 대한 SSH 또는 RDP 액세스를 제공하며, IAM 역할을 통해 세분화된 권한 제어가 가능합니다. 엔지니어는 ssm:StartSession 권한이 있는 IAM 역할을 맡아 Session Manager를 사용하여 인스턴스에 연결할 수 있습니다. Elastic IP를 할당하고 보안 그룹에 엔지니어의 IP를 화이트리스트에 추가하는 것은 보안 위험을 증가시키고 관리 오버헤드를 발생시킵니다. 배스천 호스트를 구축하는 것은 가능하지만 Session Manager보다 복잡하고 추가적인 인프라 비용이 발생합니다. Network Load Balancer를 사용하여 인스턴스에 직접 연결하는 것은 보안상 권장되지 않으며, 인스턴스에 대한 직접적인 인터넷 노출을 야기합니다.