한 회사에서 여러 AWS 계정(AWS Organizations 내)에 걸쳐 민감한 데이터 수집 앱을 실행합니다. Auto Scaling 그룹의 EC2 인스턴스는 사용자 지정 AMI를 사용하며 인터넷에 액세스할 수 없습니다. 필요한 VPC 엔드포인트는 이미 구성되어 있습니다. 관리자는 유지 관리 및 문제 해결을 위해 인스턴스에 로그인할 수 있는 자동화되고 중앙에서 제어되는 액세스 권한이 필요하며, 인스턴스에 액세스할 때마다 보안 팀에 알림이 전송되어야 합니다. 다음 중 이러한 요구 사항을 충족하는 솔루션은 무엇입니까?

정답은 EC2 Image Builder를 사용하여 최신 SSM Agent로 사용자 지정 AMI를 다시 빌드하고, Auto Scaling 그룹이 AmazonSSMManagedInstanceCore 역할을 인스턴스에 연결하도록 구성하고, Systems Manager Session Manager를 사용하여 로그인하며, S3에 세션 로깅을 활성화하고, 보안 알림을 위해 SNS 토픽에 게시하는 S3 이벤트 알림을 생성하는 것입니다. 이 솔루션은 인터넷 액세스 없이도 중앙에서 인스턴스에 안전하게 액세스하고 관리할 수 있도록 합니다. SSM Agent가 포함된 AMI는 Session Manager를 통해 인스턴스에 연결하는 데 필수적이며, 적절한 IAM 역할은 Session Manager가 인스턴스와 통신할 수 있도록 허용합니다. S3 로깅 및 S3 이벤트 알림은 모든 세션 활동에 대한 감사 및 보안 알림 요구 사항을 충족합니다. 오답 1은 cfn-init을 사용하여 VPC 경로를 변경하여 외부 액세스를 허용하므로 인터넷 액세스가 불가능하다는 요구 사항을 위반합니다. 또한 EC2 Instance Connect는 인터넷 액세스가 필요합니다. 오답 2는 NAT 게이트웨이와 배스천 호스트를 배포하여 인터넷 액세스를 제공하므로 요구 사항을 위반합니다. 오답 4는 Systems Manager Automation을 사용하여 AMI에 SSM Agent를 포함한다고 하지만, EC2 Image Builder가 AMI 재빌드에 더 적합하며, 루트 계정에 SCP를 연결하는 것은 불필요하고 과도한 권한을 부여할 수 있습니다.