SCSインフラストラクチャのセキュリティ
あるスタートアップ企業は、複数のプライベートサブネット内のLinux EC2インスタンスへの管理者アクセスを、パブリックサブネットに設置したバスティオンホスト経由のSSHで行っています。
以下の課題と要件が挙げられました。
・バスティオンホスト自体のOSパッチ適用・管理コストを削減したい
・SSHキーペアの配布・管理を廃止したい
・すべてのセッション操作ログをAmazon CloudWatch Logsに自動記録したい
・EC2インスタンスへのインバウンドポート22の開放を廃止したい
バスティオンホストを完全に廃止しつつ、上記すべての要件を満たす最もシンプルなアーキテクチャはどれですか？
AEC2 Instance Connect Endpointを各プライベートサブネットに作成し、AWS CLIまたはマネジメントコンソールからSSH接続する
EC2 Instance Connect Endpointはポート22不要のSSH接続を提供できますが、SSH鍵（短命の公開鍵）が引き続き使用され、セッション操作ログの自動記録機能がないため要件を完全には満たしません。
BAWS Systems Manager Session Managerを使用し、SSMエージェント経由でSSHポートの開放なしにインスタンスへのシェルアクセスを提供する
✓ 正解
Session ManagerはSSHキー不要・インバウンドポート不要でEC2インスタンスへのシェルアクセスを提供し、すべてのセッションアクティビティをCloudWatch LogsまたはS3へ自動記録できます。SSMエージェントがアウトバウンドでSSMエンドポイントに接続するためバスティオンホストも不要となり、要件をすべて満たします。
CAWS Site-to-Site VPNを設定し、オンプレミスのジャンプサーバーからプライベートサブネットのEC2インスタンスにSSHアクセスする
AWS Site-to-Site VPNはネットワーク接続を提供するのみで、SSHキー管理やセッションログの課題は解決しません。
DAWS PrivateLinkを使用してSSHトラフィックをルーティングし、バスティオンホストなしでプライベートサブネットへアクセスする
AWS PrivateLinkはサービスエンドポイントを公開するためのものであり、SSH管理アクセスのユースケースには適合しません。
解説
Session ManagerはSSHキー不要・インバウンドポート不要でEC2インスタンスへのシェルアクセスを提供し、すべてのセッションアクティビティをCloudWatch LogsまたはS3へ自動記録できます。SSMエージェントがアウトバウンドでSSMエンドポイントに接続するためバスティオンホストも不要となり、要件をすべて満たします。
選択肢AのEC2 Instance Connect Endpointはポート22不要のSSH接続を提供できますが、SSH鍵（短命の公開鍵）が引き続き使用され、セッション操作ログの自動記録機能がないため要件を完全には満たしません。
選択肢CのAWS Site-to-Site VPNはネットワーク接続を提供するのみで、SSHキー管理やセッションログの課題は解決しません。
選択肢DのAWS PrivateLinkはサービスエンドポイントを公開するためのものであり、SSH管理アクセスのユースケースには適合しません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →