要件のポイント

1. SSHアクセスのセキュリティ強化: 不必要なアクセスを防ぎ、アクセス管理を強化する。

2. 監査機能の提供: エンジニアが実行したコマンドやアクティビティを記録する。

3. オンプレミスからの接続: 現在のVPN経由でのアクセスを考慮する。

選択肢の分析

A.

• 構成:
• EC2 Instance Connectを使用してSSHアクセスを管理。
• セキュリティグループからポート22のインバウンドルールを削除。

• 評価:
• 利点: ポート22のインバウンドルールを削除することで、直接的なSSH攻撃のリスクが軽減される。
• 問題点: EC2 Instance ConnectはAmazon Linux 2やUbuntuのみをサポートし、全てのOSに適用できるわけではない。また、コマンドの監査ログを記録する機能が含まれていない。

• 結論: 不適切（監査要件を満たさない）。

B.

• 構成:
• ポート22のインバウンドをエンジニアのデバイスIPアドレスに限定。
• Amazon CloudWatchエージェントで監査ログをCloudWatch Logsに送信。

• 評価:
• 利点: エンジニアごとのアクセス制限が可能。監査ログを収集できる。
• 問題点: ポート22を開けたままにするため、VPNやIP制限があってもSSH攻撃のリスクが残る。また、より安全なアクセス手段であるSession Managerと比較すると劣る。

• 結論: 部分的に適切（SSHリスクが残るため最適ではない）。

C.

• 構成:
• ポート22のインバウンドをエンジニアのデバイスIPアドレスに限定。
• AWS Configでセキュリティグループ変更を監視。
• AWS Firewall Managerでセキュリティグループポリシーを適用。

• 評価:
• 利点: セキュリティグループの変更監視と自動修復が可能。
• 問題点: ポート22を引き続き開けておくため、SSHリスクが残る。監査ログの収集が直接含まれていない。

• 結論: 部分的に適切（セキュリティの強化に不十分）。

D.

• 構成:
• IAMロールを使用して、AWS Systems Manager (SSM) の Session Manager を有効化。
• ポート22のインバウンドルールを削除。
• エンジニアには Session Manager を使用してインスタンスにアクセスさせる。

• 評価:
• 利点:
• ポート22を完全に閉じることでSSH攻撃リスクを排除。
• Session ManagerはAWS Systems Managerの機能として、エンジニアが実行したコマンドを詳細に監査・記録できる（CloudWatch LogsやS3に送信可能）。
• オンプレミスからのVPN経由のアクセスもサポート可能。
• 問題点: 追加設定（IAMロールの割り当て、Session Managerプラグインのインストール）が必要。

• 結論: 最適な解答（セキュリティと監査要件を完全に満たす）。

正解: D