A empresa precisa garantir que os logs de fluxo da VPC estejam habilitados para todas as VPCs atuais e futuras na conta. As VPCs são gerenciadas com uma stack do CloudFormation, mas os usuários podem criar VPCs diretamente. Qual abordagem impõe logs de fluxo para VPCs existentes e recém-criadas por qualquer usuário IAM?

A resposta correta é habilitar o AWS Config com uma regra e remediação automática. O AWS Config monitora continuamente os recursos e pode detectar VPCs sem logs de fluxo, aplicando automaticamente a configuração desejada. Isso garante a conformidade para VPCs existentes e novas, independentemente de como foram criadas. Adicionar um recurso AWS::EC2::FlowLog ao modelo do CloudFormation só funcionaria para VPCs criadas via CloudFormation e não para as criadas diretamente. Criar uma AWS Organization e aplicar um SCP que impede alterações nos logs de fluxo da VPC não garante que os logs de fluxo sejam habilitados inicialmente, apenas que não podem ser desabilitados depois de configurados. Criar uma política do IAM que nega chamadas de API relacionadas aos logs de fluxo da VPC e anexá-la a todos os usuários do IAM impediria a criação ou modificação dos logs de fluxo, mas não os habilitaria automaticamente.