ある企業が、AWS で Web アプリケーションを運用している。セキュリティ監査で、EC2 インスタンスへのポート 22（SSH）がインターネット（0.0.0.0/0）に開放されていることが指摘された。SSH アクセスを廃止せずに、インターネットから直接アクセスできないよう改善したい。運用負荷を最小限にする最も適切なソリューションはどれか。

1. A. AWS Systems Manager Session Manager を使用してブラウザまたは CLI から EC2 インスタンスに接続し、SSH ポート（22）をセキュリティグループから削除する。
2. B. 踏み台（Bastion）ホストを別途 EC2 で構築し、踏み台のパブリック IP からのみ SSH を許可するようセキュリティグループを変更する。
3. C. VPN 接続を構築し、VPN のプライベート IP アドレスからのみ SSH を許可するようセキュリティグループを変更する。
4. D. EC2 インスタンスのセキュリティグループを修正して SSH ポートを完全に閉じ、コンソールアクセスのみを使用する。