Para atender a novos requisitos de conformidade, uma empresa deve garantir que todas as instâncias de banco de dados (DB instances) e clusters de banco de dados (DB clusters) do Amazon RDS usem armazenamento criptografado. A empresa precisa de uma solução automatizada que envie um alerta por e-mail sempre que uma instância de banco de dados ou cluster não criptografado for criado e também exclua o recurso não criptografado. Qual opção é a mais operacionalmente eficiente?

A opção correta utiliza o AWS Config para detectar proativamente recursos RDS não criptografados. A regra gerenciada rds-storage-encrypted é ideal para essa detecção. A remediação automática do AWS Config pode ser configurada para invocar uma função Lambda via SNS, permitindo a exclusão do recurso não conforme e o envio de alertas por e-mail. Isso garante automação completa e notificação. As opções que usam EventBridge para eventos de criação do RDS são menos eficientes porque o EventBridge detecta a criação, mas não avalia o estado de conformidade do recurso de forma contínua como o AWS Config. A opção de remediação manual exige intervenção humana, o que não atende ao requisito de solução automatizada.