A empresa executa testes em uma única conta AWS em instâncias Amazon EC2. O AWS Config está habilitado com a regra gerenciada restricted-ssh. A equipe precisa de uma notificação automatizada e em tempo real que seja personalizada e inclua o nome e o ID do security group não compatível sempre que qualquer security group violar a regra restricted-ssh. Um tópico SNS já existe com os assinantes apropriados. O que o engenheiro de DevOps deve fazer a seguir para atender a esse requisito?

A opção correta utiliza o Amazon EventBridge para reagir a eventos do AWS Config. Ao criar uma regra do EventBridge que filtra avaliações NONCOMPLIANT da regra restricted-ssh, é possível acionar uma ação específica. O transformador de entrada é crucial aqui, pois permite extrair dados específicos (nome e ID do security group) do evento do Config e formatá-los em uma mensagem personalizada antes de publicá-la no tópico SNS existente, atendendo ao requisito de notificação customizada e em tempo real. As outras opções são menos eficazes: Encaminhar diretamente para o SNS e usar uma política de filtro não permite a personalização da mensagem com os detalhes do security group. Invocar o AWS Systems Manager Run Command para construir a notificação é um processo excessivamente complexo e desnecessário para essa tarefa simples de transformação de dados. Criar uma regra genérica para NONCOMPLIANT e adicionar um transformador de entrada "especificamente" para a regra restricted-ssh é menos direto e pode ser mais propenso a erros do que filtrar o evento na própria regra do EventBridge.