Como você pode impedir que os desenvolvedores anexem um Elastic IP a instâncias EC2 de produção e garantir que a equipe de segurança seja alertada se alguma instância de produção tiver um Elastic IP a qualquer momento?

A opção correta impede que os desenvolvedores anexem Elastic IPs (EIPs) negando a permissão ec2:AssociateAddress via IAM. Isso é uma medida preventiva eficaz. Além disso, uma regra personalizada do AWS Config detecta proativamente EIPs em instâncias de produção, garantindo que a equipe de segurança seja alertada sobre qualquer violação, mesmo que ocorra por outros meios ou configurações. As outras opções são menos eficazes ou mais complexas: Consultar logs do CloudTrail com Athena é reativo e não impede a ação inicial. A opção que apenas garante que os grupos do IAM não tenham permissões não é tão robusta quanto uma negação explícita, e a verificação periódica com Lambda pode ter latência. A criação de uma regra do AWS Config para verificar perfis de instância que negam permissões de associate-address é indireta e menos eficiente do que negar a permissão diretamente no IAM para os desenvolvedores.