Bir startup, özel alt ağlarda Amazon Linux 2 EC2 örneklerinden oluşan bir filo çalıştırıyor ve mühendisler sorun giderme için SSH'ye güveniyor. VPC'de özel ve genel alt ağlar, bir NAT gateway ve şirket içi ağa bir Site-to-Site VPN bulunuyor. Mevcut EC2 güvenlik grupları, şirket içi ağdan doğrudan SSH'ye izin veriyor. Şirket, daha güçlü SSH kontrolleri ve mühendisler tarafından çalıştırılan komutların denetimini istiyor. Bir çözümler mimarı hangi yaklaşımı önermelidir?

Doğru cevap, Systems Manager Session Manager'ı kullanarak daha güçlü SSH kontrolleri ve komut denetimi sağlar. EC2 örneklerine AmazonSSMManagedInstanceCore politikasına sahip bir IAM rolü eklemek, Session Manager'ın çalışması için gerekli izinleri verir. Gelen TCP 22 numaralı bağlantı noktasına izin veren güvenlik grubu kurallarının kaldırılması, doğrudan SSH erişimini ortadan kaldırarak güvenlik duruşunu iyileştirir. Mühendislerin Session Manager'ı kullanmaya zorlanması, tüm oturumların denetlenmesini ve kaydedilmesini sağlar. Diğer seçenekler neden yanlış: EC2 Instance Connect, SSH anahtarlarını yönetmeye yardımcı olsa da, komut denetimi sağlamaz ve doğrudan SSH erişimini tamamen ortadan kaldırmaz. Güvenlik gruplarını mühendislerin cihaz IP'lerine kısıtlamak, IP adresleri değişebileceğinden pratik değildir ve komut denetimi sağlamaz. CloudWatch aracısı işletim sistemi günlüklerini toplasa da, SSH oturumlarındaki komutları doğrudan denetlemez. AWS Config ve Firewall Manager güvenlik grubu değişikliklerini izleyip düzeltebilir, ancak bu, SSH oturumlarının kendisi için denetim sağlamaz veya doğrudan SSH'ye olan bağımlılığı ortadan kaldırmaz.