Um arquiteto de soluções deve implementar um controle de conformidade automatizado que proíba regras de security group que permitam SSH de 0.0.0.0/0. A empresa deve ser notificada quando a política for violada e precisa de uma solução o mais rápido possível com o mínimo de sobrecarga operacional. O que o arquiteto de soluções deve fazer?

A opção correta é habilitar a regra gerenciada restricted-ssh do AWS Config e gerar uma notificação do Amazon SNS. O AWS Config é um serviço de conformidade que monitora e avalia as configurações dos recursos AWS. A regra restricted-ssh é uma regra gerenciada pré-definida que detecta automaticamente security groups que permitem acesso SSH (porta 22) de 0.0.0.0/0. Ao integrá-lo com o Amazon SNS, as notificações são enviadas rapidamente quando a política é violada, atendendo aos requisitos de automação, notificação e baixa sobrecarga operacional. Escrever um script Lambda (primeira opção) exigiria desenvolvimento e manutenção, aumentando a sobrecarga operacional. Criar uma função IAM (terceira opção) não aborda a detecção de regras de security group não conformes. Configurar uma SCP (quarta opção) impede a criação, mas não detecta ou notifica sobre regras existentes ou criadas por usuários com permissões elevadas, nem atende ao requisito de notificação automática sobre a violação da política específica.