A empresa usa o RDS para todos os bancos de dados e o AWS Control Tower para gerenciar contas. Todos os bancos de dados devem ser criptografados em repouso. O engenheiro de segurança deve ser notificado sobre quaisquer instâncias do RDS não compatíveis (não criptografadas) em todas as contas. Qual solução oferece a maior eficiência operacional?

A opção correta aproveita a funcionalidade nativa do AWS Control Tower, que é projetado para governança multi-contas. Habilitar um guardrail de detecção para criptografia do RDS é a forma mais eficiente e centralizada de monitorar a conformidade em todas as contas gerenciadas pelo Control Tower. O EventBridge e o SNS fornecem um mecanismo de notificação robusto e automatizado. As outras opções são menos eficientes: Funções Lambda com CloudFormation StackSets exigem mais desenvolvimento e gerenciamento de código, além de uma arquitetura de agregação de métricas mais complexa. Regras personalizadas do AWS Config em cada conta são eficazes, mas o guardrail do Control Tower oferece uma solução mais integrada e de menor esforço para governança multi-contas. A instância EC2 com cron job é a menos eficiente operacionalmente, introduzindo um ponto único de falha, custo adicional e a necessidade de gerenciar uma infraestrutura para algo que pode ser automatizado com serviços gerenciados.