Os desenvolvedores devem iniciar instâncias EC2 apenas a partir de um conjunto aprovado de AMIs, mas alguns ainda estão iniciando instâncias a partir de imagens não aprovadas. A equipe de operações precisa de uma maneira automatizada de detectar e encerrar qualquer instância EC2 iniciada a partir de uma AMI que não esteja na lista aprovada. Qual abordagem satisfaz esse requisito?

A regra gerenciada do AWS Config ec2-approved-amis é projetada especificamente para verificar se as instâncias EC2 são iniciadas a partir de AMIs aprovadas. Ao combiná-la com a correção automática, que pode executar um runbook do AWS Systems Manager Automation para encerrar instâncias não compatíveis, você obtém uma solução totalmente automatizada e eficiente para o requisito. As outras opções são menos eficazes ou mais complexas: Armazenar IDs de AMI em uma tabela DynamoDB e usar modelos de inicialização não fornece detecção e encerramento automáticos para instâncias já em execução ou iniciadas fora dos modelos. Métricas e alarmes do CloudWatch não são a ferramenta ideal para verificar a conformidade de AMIs; eles monitoram dados numéricos e não atributos de configuração como IDs de AMI. O Amazon Inspector é focado em vulnerabilidades e conformidade de segurança, não em validação de AMI de lançamento, e criar uma descoberta personalizada para isso seria um uso inadequado e mais complexo do serviço.