Bir araştırma şirketi, yüzlerce Amazon Linux 2 EC2 örneği üzerinde günlük simülasyonlar yürütmektedir. Bazen bir örnek, takılıp kalmış bir simülasyonu çözmek için bir mühendisin SSH ile bağlanmasını gerektirir. Güvenlik politikası, hiçbir iki EC2 örneğinin aynı SSH anahtarını paylaşmamasını ve tüm SSH bağlantılarının AWS CloudTrail'de günlüğe kaydedilmesini gerektirir. Bir çözümler mimarı bu gereksinimleri nasıl karşılayabilir?

Doğru cevap, EC2 Instance Connect'i kullanmaktır. Bu hizmet, her bağlantı için geçici bir SSH anahtarı oluşturarak örnek başına benzersiz anahtar gereksinimini karşılar. Ayrıca, tüm bağlantılar AWS CloudTrail'de günlüğe kaydedilir. Mühendisler, IAM politikalarıyla kontrol edilen SendSSHPublicKey eylemini kullanarak tarayıcı tabanlı SSH istemcisi aracılığıyla bağlanabilirler. Diğer seçenekler neden yanlış: İlk seçenek, Secrets Manager'da depolanan anahtarların yönetimi ve dağıtımı karmaşıktır ve her bağlantının CloudTrail'de günlüğe kaydedildiğini garanti etmez. İkinci seçenek, Systems Manager belgesiyle anahtar ayarlamak, her bağlantı için benzersiz anahtar gereksinimini karşılamaz ve bağlantıların CloudTrail'de günlüğe kaydedildiğini garanti etmez. Dördüncü seçenek, Lambda ve Secrets Manager rotasyonu karmaşık bir çözümdür ve her bağlantı için benzersiz anahtar gereksinimini karşılamaz. Ayrıca, Session Manager'ın kendisi SSH anahtarı kullanmaz, bu da gereksinimle çelişir.