Uma empresa gerencia várias contas AWS com o AWS Organizations. Uma conta central publica Amazon Machine Images (AMIs) base para o Amazon EC2. A empresa usa o AWS Systems Manager para inventário de software e aplicação de patches. Um engenheiro de segurança precisa de uma solução para toda a organização que detecte instâncias EC2 sem um pacote de software corporativo obrigatório e instale automaticamente o software quando ele estiver ausente. Qual abordagem atende a esses requisitos?

A opção correta atende a todos os requisitos: o AWS Config, com a regra gerenciada ec2-managedinstance-applications-required, detecta instâncias sem o software. O EventBridge reage a essas detecções e o Lambda, usando o Systems Manager Run Command, instala o software automaticamente. Isso é escalável e centralizado para toda a organização. A opção de publicar novas AMIs não resolve o problema para instâncias existentes e a imposição via SCP é complexa de gerenciar para software específico. A linha de base de patch do Systems Manager é para patches de segurança, não para instalação inicial de software corporativo obrigatório. Criar um pacote Distributor e usar o Run Command diretamente não oferece a detecção automática e a remediação baseada em conformidade que o AWS Config e o EventBridge proporcionam.