Nöbetçi mühendislerin sorun giderme amacıyla özel bir alt ağdaki EC2 örneklerine sık sık erişmesi gerekmektedir. Örnekler mevcut AWS Windows AMI'leri veya Amazon Linux üzerinde çalışmaktadır ve yetkilendirme için bir IAM rolü zaten mevcuttur. Hangi çözüm, mühendislere bu rol üzerindeki IAM izinlerini kullanarak erişim sağlar?

Doğru cevap, AWS Systems Manager Session Manager'ı kullanmaktır. Session Manager, SSH anahtarlarına veya açık ağ bağlantı noktalarına ihtiyaç duymadan EC2 örneklerine güvenli ve denetlenebilir erişim sağlar. Mühendisler, mevcut IAM rolünü üstlenerek ve bu role ssm:StartSession izni ekleyerek örneklerle etkileşim kurabilir. Bu, en az ayrıcalık ilkesini takip eder ve güvenlik duruşunu iyileştirir. Diğer seçenekler şunlar için uygun değildir: Elastic IP ve güvenlik grupları: Güvenlik gruplarına mühendis IP'lerini beyaz listeye almak, IP adresleri değiştiğinde veya mühendis sayısı arttığında yönetimi zorlaştırır ve doğrudan internete maruz kalma riski taşır. ec2:AuthorizeSecurityGroupIngress izni, mühendislere güvenlik gruplarını değiştirme yetkisi verir ki bu da gereksiz bir ayrıcalıktır. Bastion EC2 ana bilgisayarı: Bir bastion ana bilgisayarı kullanmak geçerli bir yöntem olsa da, ec2:CreateVpnConnection izni VPN bağlantıları oluşturmak içindir, bastion üzerinden erişim sağlamak için değildir. Ayrıca, bastion ana bilgisayarının kendisinin yönetilmesi ve güvenliğinin sağlanması gerekir. Network Load Balancer (NLB): NLB'ler, trafiği birden çok hedefe dağıtmak için tasarlanmıştır, tek tek EC2 örneklerine doğrudan yönetim erişimi sağlamak için değil. ec2:CreateRoute izni, yönlendirme tablolarını değiştirmek içindir ve bu senaryo için uygun değildir.