Компания использует множество инстансов EC2 на базе Amazon Linux 2 AMI. Администратору SysOps требуется простой в обслуживании способ для записи интерактивных сеансов команд пользователей (команд и их вывода), надежного хранения этих записей и запуска оповещений на основе содержимого логов. Какой подход обеспечивает необходимую функциональность с наименьшими операционными издержками?

Правильный ответ — требовать интерактивный доступ через AWS Systems Manager Session Manager. Session Manager позволяет централизованно управлять доступом к инстансам без открытия входящих портов и без использования SSH-ключей. Он имеет встроенную функцию потоковой передачи логов сеансов в CloudWatch Logs или S3, что обеспечивает надежное хранение и возможность запуска оповещений на основе содержимого логов с помощью фильтров метрик CloudWatch. Это значительно снижает операционные издержки, так как не требует установки и настройки агентов логирования на каждом инстансе для этой конкретной задачи, а также упрощает управление доступом. Остальные варианты менее оптимальны: Включение логирования на каждом инстансе и использование унифицированного агента CloudWatch требует ручной настройки на каждом инстансе и дополнительных усилий по обслуживанию. Использование bastion host добавляет еще одну точку отказа и усложняет архитектуру, а также требует управления этим хостом. Использование Systems Manager Run Command не предназначено для интерактивных сеансов, а для выполнения команд по расписанию или по требованию, что не соответствует требованию записи интерактивных сеансов.