Дежурные инженеры должны часто получать доступ к инстансам EC2 в частной подсети для устранения неполадок. Инстансы работают либо под управлением текущих AWS Windows AMI, либо под управлением Amazon Linux, и роль IAM уже существует для авторизации. Какое решение предоставляет инженерам доступ с использованием разрешений IAM для этой роли?

Правильный ответ — использование AWS Systems Manager Session Manager. Это решение позволяет инженерам безопасно получать доступ к инстансам EC2 в частной подсети без необходимости открывать входящие порты или использовать бастион-хосты. Добавление разрешения ssm:StartSession к существующей роли IAM позволяет инженерам запускать сеансы, используя свои текущие разрешения, что соответствует принципу наименьших привилегий. Session Manager поддерживает как Windows, так и Amazon Linux AMI. Неправильные варианты: Назначение Elastic IP и групп безопасности с белым списком IP-адресов инженеров не рекомендуется для инстансов в частной подсети, так как это нарушает принцип изоляции и требует управления динамическими IP-адресами инженеров. Создание бастион-хоста EC2 является возможным решением, но Session Manager предлагает более простое и безопасное управление доступом, не требуя развертывания и обслуживания дополнительного инстанса. Развертывание Network Load Balancer, обращенного к интернету, с перенаправлением портов 22/3389 на инстансы в частной подсети, является крайне небезопасным подходом, так как открывает инстансы для прямого доступа из интернета.