Een bedrijf runt een gevoelige data-inname-app over meerdere AWS-accounts (in AWS Organizations). EC2-instances in Auto Scaling-groepen gebruiken een aangepaste AMI en hebben geen internettoegang; de vereiste VPC-endpoints zijn aanwezig. Beheerders hebben geautomatiseerde, centraal gecontroleerde toegang nodig om in te loggen op instances voor onderhoud en probleemoplossing, en het beveiligingsteam moet op de hoogte worden gesteld wanneer instances worden benaderd. Welke oplossing voldoet aan deze vereisten?

De correcte optie voldoet aan alle eisen. EC2 Image Builder is de juiste tool om de aangepaste AMI te updaten met de SSM Agent. De AmazonSSMManagedInstanceCore-rol geeft instances de benodigde machtigingen voor Systems Manager. Session Manager biedt geautomatiseerde, centraal gecontroleerde toegang zonder internettoegang, aangezien VPC-endpoints aanwezig zijn. Sessielogging naar S3 en een S3 event notification naar een SNS-topic zorgen voor de vereiste meldingen aan het beveiligingsteam. De eerste optie is incorrect omdat EC2 Instance Connect internettoegang vereist, wat niet beschikbaar is. Het wijzigen van VPC-routes via cfn-init voor externe toegang is ook geen veilige of schaalbare oplossing. De tweede optie is incorrect omdat een NAT-gateway en bastionhost internettoegang vereisen, wat expliciet is uitgesloten. De vierde optie is incorrect omdat AWS Config wordt gebruikt voor compliance-evaluatie, niet om SCP's te koppelen of SSM Agent in een AMI te bakken. Systems Manager Automation kan wel worden gebruikt om SSM Agent te bakken, maar de rest van de oplossing is onjuist.