Q94 — AWS DOP-C02 第2章

第 94/100 题 | ← 返回第2章

一家公司响一个跨多个AWS账户运行的数据摄取应难程序。这些账户位于AWS Organizations中的一个组织中。公 司需要监控应难程序并整合对应难程序的访问。宫前，该公司正在范自多个Auto Scaling 组的Amazon EC2实暗上运行该应难程序。 EC2实暗岛法访问互联网，因为数据是敏感的。工程师已经赛署了客要的VPC端点。EC2实暗运行专门为应难程序构建的自定批 AMI. 为了维护应难程序并对密进行故障排除，系统管理员需要能够登录到EC2实暗。这种访问客间是自动化的并象中控相。每当访问实 暗唱，公司的安全升队客间收到通知。 哪种解决方案可以两足这些要求？

• A. 创建一个Amazon EventBridge 规则，以便在用户登录EC2实例时向安全团队发送通知。使用EC2 Instance Connect登录实例。使用AWS CloudFormation 部署Auto Scaling组。使用cfn-init帮助程序脚本为外部访问部署适当的VPC路由。重建自定义AMI，以便 自定义AMI包含AWS Systems Manager 代理。
• B. 部署一个NAT网关和一个可以上网的堡垒机。创建一个安全组，允许来自堡垒主机的所有EC2实例上的传入流量。在所有EC2实例上安装AWS Systems Manager 代理。使用Auto Scaling组生命周期挂钩来监控和审计访问。使用Systems Manager会话管理器登录实例。将日志发送到Amazon CloudWatch Logs中的日志组。将数据导出到Amazon S3进行审计。使用S3事件通知向安全团队发送通知。
• C. 使用EC2 Image Builder 重建自定义AMI。在映像中包含最新版本的AWS Systems Manager 代理。配置Auto Scaling 组以将 AmazonSSMManagedInstanceCore角色附加到所有EC2实例。使用Systems Manager会话管理器登录实例。启用将会话详细信息记录到Amazon S3。为新文件上传创建S3事件通知，以通过Amazon Simple Notification Service（Amazon SNS）主题向安全团队发送消 息。 ✓
• D. 使用AWS Systems Manager Automation将 Systems Manager Agent构建到自定义AMI中。配置AWS Config 以将SCP附加到根组织账户，以允许EC2实例连接到Systems Manager。使用Systems Manager会话管理器登录实例。启用将会话详细信息记录到 Amazon S3。为新文件上传创建S3事件通知，以通过Amazon Simple Notifica-tion Service（Amazon SNS）主题向安全团队发送消息。

正确答案: C. 使用EC2 Image Builder 重建自定义AMI。在映像中包含最新版本的AWS Systems Manager 代理。配置Auto Scaling 组以将 AmazonSSMManagedInstanceCore角色附加到所有EC2实例。使用Systems Manager会话管理器登录实例。启用将会话详细信息记录到Amazon S3。为新文件上传创建S3事件通知，以通过Amazon Simple Notification Service（Amazon SNS）主题向安全团队发送消 息。

解析

答案C是正确的解决方案。首先，使用EC2ImageBuilder重建自定义AMI并包含最新版的AWSSystemsManager代理，可确保系统管理功能的可用性。然后，配置AutoScaling组将AmazonSSMManagedInstanceCore角色附加到所有EC2实例，为后续的管理操作提供了必要的权限。使用SystemsManager会话管理器登录实例，实现了集中控制的自动化访问。启用会话详细信息记录到AmazonS3，并为新文件上传创建S3事件通知通过AmazonSNS主题向安全团队发送消息，满足了安全团队收到通知的需求。综上所述，选项C能满足题目中的各项要求。 查看全部