SOAセキュリティとコンプライアンス
あるセキュリティ重視の企業は、コンプライアンス監査の結果「すべての踏み台サーバー（Bastion Host：管理者がサーバーに安全にアクセスするための中継サーバー）を廃止し、EC2インスタンスへのインバウンドSSH（ポート22）およびRDP（リモートデスクトッププロトコル、ポート3389）の許可設定をすべてのセキュリティグループから削除すること」という要件を受けました。運用チームはEC2インスタンスへのインタラクティブなシェルアクセス（コマンド実行・ファイル操作）を引き続き必要としています。この要件を満たしながら最も運用負荷が低い方法はどれですか？
AAWS Systems Manager Session Managerを使用し、AWSコンソールまたはAWS CLIからEC2インスタンスへのシェルセッションを確立する（インバウンドポートの開放は一切不要）
✓ 正解
Session ManagerはIAM認証によりインバウンドポート開放不要でEC2へのシェルアクセスを提供します。SSH/RDP不要で、セッションログの監査対応も可能です。踏み台サーバーやSSHキー管理の負荷を完全に排除できます。
B踏み台サーバーをパブリックサブネットからプライベートサブネットに移動し、SSHアクセスをAWS Site-to-Site VPN経由のみに限定することでセキュリティを強化する
踏み台サーバーを維持する方法は「踏み台サーバー廃止」という要件に直接矛盾しています。パブリック→プライベート移動でもVPN経由のSSHアクセスは踏み台と同じ問題を抱えており、管理負荷が残ります。
CEC2 Instance Connect（IAMポリシーで許可されたユーザーが一時的なSSH公開鍵をインスタンスにプッシュしてアクセスする機能）を使用する
Instance Connectは一時的なSSH公開鍵をプッシュするサービスですが、SSHプロトコル（ポート22）を使用するため、セキュリティグループにポート22許可が必要です。インバウンドSSH削除という要件を満たしません。
DAWS Systems Manager Run Commandを使用して必要なコマンドをEC2にリモート送信し、インタラクティブなシェルアクセスの代替とする
Run Commandはコマンド実行機能ですが、双方向の対話的シェルセッション（標準入出力）を提供しません。ユーザーがインタラクティブにコマンドを実行したいという要件には不十分です。
解説
AWS Systems Manager Session Managerは、SSH/RDPポートを一切開けることなくIAM認証によりEC2インスタンスへのインタラクティブなシェルアクセスを提供します。必要なのはEC2からSSMサービスへのアウトバウンドHTTPS（ポート443）のみで、踏み台サーバーもSSHキーも不要です。セッションログをCloudWatch LogsやS3に記録できるため監査要件にも対応できます。B：踏み台サーバーを維持すること自体が「踏み台サーバーの廃止」という要件に違反します。C：EC2 Instance Connect（Instance Connect Endpointなし）は一時的なSSH公開鍵をプッシュするサービスですが、SSHプロトコル（ポート22）を使用するため、セキュリティグループにポート22の許可が必要です。「インバウンドSSHを削除」という要件を満たしません。D：Run CommandはEC2にコマンドをリモート送信して実行する機能ですが、対話的なシェルセッション（双方向の標準入出力）を提供するものではなく、Session Managerの完全な代替にはなりません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →