ある企業は、プライベートサブネット内のEC2インスタンス（Amazon Linux 2023）上で本番アプリケーションを運用しています。セキュリティ部門は、運用担当者がアクセスする際にインバウンドのSSHポート（22番）を一切開放せず、SSHキーペアの管理も廃止し、全アクセス操作のログを監査用に保存することを要求しています。VPCにはインターネットゲートウェイがありません。最も運用負荷が低く要件を満たす方法はどれですか。
Systems Manager Session Managerは、SSM AgentからのアウトバウンドHTTPS通信のみで接続を確立するため、インバウンドの22番ポート開放やSSHキーペアが不要です。IAMで接続権限を制御し、セッションログをCloudWatch LogsやS3に出力して監査できます。インターネットゲートウェイがない環境でも、SSM・SSMMessages・EC2Messages用のインターフェイスVPCエンドポイントを介して接続できます。 選択肢Bの踏み台ホストは、22番ポートの開放とSSHキー管理が必要で要件に反します。 選択肢CのEC2 Instance Connectは、22番ポートのインバウンド通信とSSH公開鍵のプッシュを伴うため、ポート閉鎖とキー廃止の要件を満たしません。 選択肢DのAWS Client VPNは、接続後もSSHキーペアでの接続が前提でキー管理が残り、運用負荷も高くなります。