Разработчикам необходим безопасный SSH-доступ к инстансам Amazon EC2, работающим под управлением последней версии Amazon Linux. Разработчики работают удаленно и из корпоративного офиса. Инстансы EC2 находятся в частной подсети VPC и используют NAT-шлюз в публичной подсети для доступа в интернет. Компания предпочитает использовать сервисы AWS и минимизировать затраты. Что должен сделать архитектор решений наиболее экономически эффективно?

Правильный ответ — использование AWS Systems Manager Session Manager. Это наиболее экономически эффективное и безопасное решение для доступа к инстансам EC2 в частной подсети. Session Manager не требует открытия входящих портов SSH, управления ключами SSH или развертывания bastion host, что значительно снижает затраты и сложность. Политика AmazonSSMManagedInstanceCore предоставляет необходимые разрешения для агента SSM на инстансах EC2 для взаимодействия с сервисом Systems Manager. Неправильные варианты: Создание bastion host в той же подсети, что и инстансы EC2, не обеспечит доступ извне VPC. ec2:CreateVpnConnection не имеет отношения к прямому SSH-доступу к инстансам. Создание AWS Site-to-Site VPN и отдельного VPN для удаленного доступа является более сложным и дорогим решением, чем Session Manager, и требует дополнительного управления инфраструктурой. Создание bastion host в публичной подсети требует управления SSH-ключами, группами безопасности и подвергает bastion host публичному интернету, что менее безопасно и более затратно, чем Session Manager.