Uma empresa bancária tem um aplicativo que deve alcançar apenas endereços IP públicos específicos de uma VPC. Uma tabela de rotas para a sub-rede do aplicativo tem rotas para esses IPs públicos via um internet gateway. O engenheiro precisa de alertas por e-mail quando alguém adiciona uma rota padrão na tabela de rotas dessa sub-rede que aponta para o internet gateway. Qual solução exige o MENOR esforço de implementação?

A solução correta utiliza a regra gerenciada no-unrestricted-route-to-igw do AWS Config, que é projetada especificamente para detectar rotas padrão (0.0.0.0/0 ou ::/0) para um Internet Gateway em tabelas de rotas. Combinar isso com o Amazon EventBridge e SNS para notificações por e-mail é o método de menor esforço, pois aproveita serviços gerenciados da AWS. A opção de criar uma função Lambda que verifica rotas a cada minuto é ineficiente e requer mais desenvolvimento e manutenção. A opção de invocar uma função Lambda por uma chamada de API CreateRoute não cobre todas as formas de modificação de rota e exige lógica complexa para capturar o estado correto da tabela de rotas. A regra internet-gateway-authorized-vpc-only não é a regra correta para detectar rotas irrestritas para um Internet Gateway; ela verifica se o Internet Gateway está anexado à VPC correta.