ある医療機関では、本番環境の複数のEC2インスタンス（Linux）への管理アクセスをSSH（ポート22）で行っており、セキュリティグループにインバウンドルールが設定されている。セキュリティ監査チームから「攻撃対象領域削減のためポート22のインバウンドルールを完全に削除し、すべての管理操作をセッション単位で記録すること」という勧告が出た。EC2インスタンスのOSやアプリケーションへの変更を最小限に抑えながら、インバウンドSSHポートを一切開けずに管理アクセスを維持する方法として最も適切なものはどれか？
AWS Systems Manager Session Managerは、SSM AgentとSystems Managerエンドポイント間のアウトバウンドHTTPS（ポート443）のみを使用するため、EC2インスタンスのインバウンドSSH（ポート22）を一切開ける必要がない。セッションはCloudTrailとS3/CloudWatch Logsへ自動記録され、IAMポリシーで接続権限を制御できる。Amazon LinuxやUbuntuにはSSM Agentがデフォルト搭載されているため、OSへの変更も最小限で済む。 選択肢Aの踏み台ホスト構成は、踏み台自体へのアクセスをSession Managerに切り替えても、踏み台から本番EC2インスタンスへの接続には依然としてSSH（ポート22）が必要であり、本番インスタンスのインバウンドSSHポートを完全に閉鎖することができない。 選択肢CのEC2 Instance Connect Endpointは、インターネット向けのポート22は削除できるが、VPC内でエンドポイントENIから対象EC2インスタンスへのSSH（ポート22）インバウンドは引き続き必要であり、インバウンドポートの完全閉鎖という要件を満たせない。 選択肢DのSystems Manager Parameter StoreとCloudTrailによる構成は、アクセス管理の強化には寄与するが、インバウンドSSHポートを閉じる手段ではない。「ポート22のインバウンドルールを完全に削除する」という核心要件を直接解決しない。