Компания запускает приложение для приема конфиденциальных данных в нескольких аккаунтах AWS (в AWS Organizations). Экземпляры EC2 в группах Auto Scaling используют пользовательский AMI и не имеют доступа к интернету; необходимые VPC endpoints настроены. Администраторам требуется автоматизированный, централизованно контролируемый доступ для входа в экземпляры для обслуживания и устранения неполадок, а команда безопасности должна получать уведомления при каждом доступе к экземплярам. Какое решение удовлетворяет этим требованиям?

Правильный ответ удовлетворяет всем требованиям: EC2 Image Builder позволяет автоматизировать пересборку AMI с SSM Agent, что необходимо для использования Session Manager. Присоединение роли AmazonSSMManagedInstanceCore к экземплярам дает им необходимые разрешения для связи с SSM. Session Manager обеспечивает централизованный, безопасный доступ без прямого доступа в интернет. Логирование сессий в S3 и последующие уведомления через SNS при помощи S3 event notification обеспечивают аудит и оповещение службы безопасности. Остальные варианты не подходят, потому что: Первый вариант предлагает использовать EC2 Instance Connect, который требует открытых портов SSH и не работает без доступа в интернет для экземпляров. Второй вариант включает развертывание NAT gateway и bastion host, что противоречит требованию отсутствия доступа в интернет для экземпляров и добавляет ненужную сложность. Четвертый вариант предлагает использовать AWS Config для присоединения SCP, что является неверным подходом для предоставления разрешений экземплярам; разрешения должны быть предоставлены через IAM роли, присоединенные к экземплярам.