Firma badawcza codziennie uruchamia symulacje na setkach instancji Amazon Linux 2 EC2. Czasami instancja wymaga interwencji inżyniera przez SSH w celu rozwiązania problemu z zablokowaną symulacją. Polityka bezpieczeństwa wymaga, aby żadne dwie instancje EC2 nie współdzieliły tego samego klucza SSH i aby wszystkie połączenia SSH były logowane w AWS CloudTrail. Jak architekt rozwiązań może spełnić te wymagania?

Poprawna odpowiedź spełnia wszystkie wymagania bezpieczeństwa. EC2 Instance Connect umożliwia bezpieczne połączenie SSH z instancjami bez konieczności udostępniania kluczy SSH. Każde połączenie jest uwierzytelniane przez IAM i wykorzystuje tymczasowy klucz SSH, co zapewnia unikalność kluczy dla każdego połączenia i zapobiega współdzieleniu. Działania IAM są automatycznie logowane w CloudTrail. Klienci SSH oparte na przeglądarce są opcją, ale inżynierowie mogą również używać swoich lokalnych klientów SSH. Pozostałe opcje są nieprawidłowe, ponieważ: Opcja 1: Wymagałaby zarządzania setkami unikalnych kluczy SSH w Secrets Manager i nie gwarantuje, że inżynierowie nie będą współdzielić kluczy. Opcja 2: Tworzenie nowego klucza SSH za pomocą Systems Manager dla każdego połączenia jest nieefektywne i skomplikowane w zarządzaniu, a także nie zapewnia natywnego logowania połączeń SSH w CloudTrail. Opcja 4: Rotacja kluczy SSH codziennie jest nadmiernie złożona i nie rozwiązuje problemu unikalności kluczy dla każdego połączenia SSH, a jedynie rotuje klucze przechowywane w Secrets Manager.