Uma atualização recente da stack do CloudFormation falhou e um engenheiro de DevOps descobriu que alguns recursos da stack foram modificados manualmente. O engenheiro precisa detectar modificações manuais em recursos gerenciados pelo CloudFormation e alertar o líder de DevOps com o mínimo esforço operacional. Qual solução atende a essa necessidade?

A opção correta utiliza a regra gerenciada CLOUDFORMATIONSTACKDRIFTDETECTIONCHECK do AWS Config, que detecta automaticamente desvios (drift) em recursos gerenciados pelo CloudFormation. Quando um recurso é modificado manualmente, o AWS Config o marca como NONCOMPLIANT. Uma regra do Amazon EventBridge pode ser configurada para ser acionada especificamente por este status NONCOMPLIANT e enviar uma notificação para um tópico do Amazon SNS, que por sua vez envia um e-mail ao líder de DevOps. Esta é a solução de menor esforço operacional, pois aproveita serviços gerenciados e automação nativa da AWS. A segunda opção é incorreta porque criar uma regra personalizada do AWS Config usando RDKlib para verificar alterações em recursos marcados é um esforço operacional muito maior do que usar a regra gerenciada existente para detecção de drift do CloudFormation. A terceira opção está incorreta porque acionar a notificação no status COMPLIANT não alertaria sobre modificações manuais, que resultam em um status NONCOMPLIANT. A quarta opção está incorreta porque, embora use a regra correta do AWS Config e o EventBridge, usar uma função Lambda para enviar e-mails é um esforço operacional maior do que usar um tópico do SNS, que pode enviar e-mails diretamente sem código adicional.