Стартап использует парк инстансов Amazon Linux 2 EC2 в частных подсетях, и инженеры полагаются на SSH для устранения неполадок. VPC имеет частные и публичные подсети, NAT gateway и Site-to-Site VPN для подключения к локальной инфраструктуре. Текущие группы безопасности EC2 разрешают прямой SSH из локальной сети. Компания хочет усилить контроль SSH и аудит команд, выполняемых инженерами. Какой подход должен рекомендовать архитектор решений?

Правильный ответ — использование AWS Systems Manager Session Manager. Этот подход позволяет полностью удалить входящий SSH-доступ (порт 22) из групп безопасности, значительно повышая безопасность. Session Manager обеспечивает аудит всех команд, выполняемых инженерами, что удовлетворяет требованию компании по аудиту. Инстансы в частных подсетях могут подключаться к Session Manager через VPC-интерфейсные конечные точки, не требуя прямого входящего доступа. Неправильные варианты: EC2 Instance Connect требует входящего порта 22, что не соответствует цели усиления контроля и удаления прямого SSH. Ограничение групп безопасности по IP-адресам инженеров не обеспечивает аудит команд и оставляет открытым порт 22. Использование CloudWatch для аудита ОС требует дополнительной настройки и не решает проблему прямого SSH-доступа. AWS Config и Firewall Manager полезны для управления безопасностью, но не обеспечивают аудит команд и не устраняют необходимость в открытом порте 22.