Deweloperzy potrzebują bezpiecznego dostępu SSH do instancji Amazon EC2 z najnowszym systemem Amazon Linux. Deweloperzy pracują zdalnie oraz z biura firmy. Instancje EC2 znajdują się w prywatnej podsieci VPC i korzystają z bramy NAT w publicznej podsieci w celu uzyskania dostępu do Internetu. Firma preferuje korzystanie z usług AWS i minimalizowanie kosztów. Co powinien zrobić architekt rozwiązań w sposób najbardziej opłacalny?

Prawidłowa odpowiedź to użycie AWS Systems Manager Session Manager. Session Manager umożliwia bezpieczny dostęp SSH do instancji EC2 bez otwierania portów SSH w grupach bezpieczeństwa i bez konieczności zarządzania kluczami SSH. Działa on poprzez agenta SSM zainstalowanego na instancjach, co pozwala na połączenie nawet z instancjami w prywatnych podsieciach. Wymaga to jedynie dołączenia polityki IAM AmazonSSMManagedInstanceCore do roli instancji EC2, co jest rozwiązaniem wysoce kosztowo efektywnym, ponieważ Session Manager jest często bezpłatny w standardowych scenariuszach użycia. Pozostałe opcje są mniej optymalne: Tworzenie hosta bastionu w tej samej podsieci co instancje EC2 nie jest bezpieczne, ponieważ host bastionowy powinien być w podsieci publicznej, aby deweloperzy mogli się z nim połączyć. Dodatkowo, przyznawanie uprawnień ec2:CreateVpnConnection jest niepotrzebne i nie służy do dostępu SSH. Konfiguracja AWS Site-to-Site VPN jest kosztowna i złożona, a także wymagałaby dodatkowego rozwiązania dla zdalnych deweloperów, co zwiększa koszty i złożoność. Tworzenie hosta bastionu w publicznej podsieci jest możliwym rozwiązaniem, ale wymaga zarządzania kluczami SSH, otwierania portów SSH i jest mniej bezpieczne niż Session Manager, który nie wymaga otwierania portów.