Uma empresa exige que as equipes internas provisionem recursos apenas por meio de modelos aprovados do CloudFormation, e a equipe de segurança precisa de detecção automatizada quando os recursos se desviam do estado esperado. Qual estratégia satisfaz ambos os requisitos com aplicação apropriada e monitoramento automatizado?

A estratégia correta é usar o AWS Service Catalog para provisionar recursos, garantindo que apenas modelos aprovados sejam utilizados. As restrições de lançamento (Launch Constraints) no Service Catalog permitem que os administradores controlem quais funções de IAM podem ser usadas para provisionar produtos, aplicando assim a governança. Para detecção de desvio, as regras do AWS Config são ideais, pois monitoram continuamente a conformidade dos recursos com as configurações desejadas e podem alertar sobre desvios. A primeira opção está incorreta porque, embora a detecção de desvio do CloudFormation seja útil, ela não impõe o uso exclusivo de modelos aprovados de forma tão robusta quanto o Service Catalog. A segunda opção também falha na aplicação da governança inicial. A quarta opção está incorreta porque as notificações do EventBridge por si só não fornecem a funcionalidade de detecção de desvio de configuração que o AWS Config oferece.