Исследовательская компания ежедневно запускает симуляции на сотнях инстансов Amazon Linux 2 EC2. Иногда инстанс требует вмешательства инженера по SSH для устранения зависшей симуляции. Политика безопасности требует, чтобы никакие два инстанса EC2 не использовали один и тот же SSH-ключ и чтобы все SSH-соединения регистрировались в AWS CloudTrail. Как архитектор решений может удовлетворить эти требования?

Правильный ответ — запуск инстансов без предустановленных SSH-ключей и использование EC2 Instance Connect. EC2 Instance Connect позволяет отправлять временные публичные SSH-ключи в инстансы Amazon Linux 2, которые действительны в течение 60 секунд. Это гарантирует, что каждый SSH-ключ уникален для каждого соединения, удовлетворяя требованию безопасности. Все действия EC2 Instance Connect регистрируются в AWS CloudTrail, обеспечивая необходимый аудит. Инженеры могут подключаться через консоль EC2, используя свои существующие учетные данные IAM, без необходимости управлять SSH-ключами вручную. Другие варианты не соответствуют всем требованиям: Хранение ключей в Secrets Manager и ручное извлечение не гарантирует уникальность ключа для каждого инстанса или соединения, а также усложняет управление. Использование Systems Manager для установки новых ключей требует дополнительной логики и не обеспечивает уникальность ключа для каждого соединения, а также не решает проблему ротации. Lambda-функция для ротации ключей в Secrets Manager сложна в реализации и не гарантирует уникальность ключа для каждого инстанса или соединения, а также не обеспечивает автоматическую регистрацию всех SSH-соединений в CloudTrail без дополнительной настройки.