Een onderzoeksbedrijf voert dagelijks simulaties uit op honderden Amazon Linux 2 EC2-instances. Af en toe moet een engineer via SSH inloggen op een instance om een vastgelopen simulatie op te lossen. Het beveiligingsbeleid vereist dat geen twee EC2-instances dezelfde SSH-sleutel delen en dat alle SSH-verbindingen worden gelogd in AWS CloudTrail. Hoe kan een solutions architect aan deze vereisten voldoen?

De juiste oplossing is om EC2 Instance Connect te gebruiken. Dit stelt engineers in staat om via SSH verbinding te maken met instances zonder SSH-sleutels vooraf te installeren en zonder sleutels te delen. EC2 Instance Connect genereert een eenmalige SSH-sleutel en pusht deze naar de instance, die na 60 seconden verloopt. Dit voldoet aan de vereiste dat geen twee instances dezelfde sleutel delen. Alle verbindingen via EC2 Instance Connect worden gelogd in CloudTrail, wat voldoet aan de auditvereiste. De andere opties zijn minder geschikt: Het opslaan van unieke sleutels in Secrets Manager en deze handmatig ophalen is omslachtig en vergroot het risico op sleutelbeheerfouten. Het gebruik van een Systems Manager-document om SSH-sleutels in te stellen, is complexer en kan leiden tot uitdagingen bij het handhaven van unieke sleutels per instance en het loggen van alle verbindingen. Het roteren van sleutels via Lambda en Secrets Manager is een complexere oplossing dan nodig is voor dit specifieke probleem en introduceert extra beheeroverhead.