Uma empresa precisa de uma solução para gerenciar regras do AWS WAF em várias contas AWS organizadas em diferentes OUs. Os administradores devem ser capazes de adicionar ou remover contas ou OUs de conjuntos de regras WAF gerenciados e atualizar/remediar automaticamente regras WAF não compatíveis em todas as contas com o mínimo de sobrecarga operacional. Qual solução atende a esses requisitos?

A opção correta utiliza o AWS Firewall Manager, que é projetado para gerenciar regras WAF em várias contas e OUs de forma centralizada, atendendo ao requisito de gerenciamento em escala. O uso do Systems Manager Parameter Store para armazenar contas/OUs e do EventBridge com Lambda para detectar mudanças e atualizar políticas do Firewall Manager automatiza o processo de adição/remoção de contas e a remediação de regras não compatíveis com mínima sobrecarga operacional. As outras opções são menos eficientes ou não atendem a todos os requisitos: A opção de AWS Config e CloudFormation StackSets pode gerenciar a conformidade e a implantação, mas não oferece o gerenciamento centralizado de políticas de segurança do WAF em toda a organização que o Firewall Manager proporciona. A opção de variáveis de ambiente Lambda e assunção de roles é complexa de gerenciar em escala e não oferece a automação de políticas do Firewall Manager. A opção de AWS Control Tower e KMS para armazenar contas/OUs não é o uso pretendido dessas ferramentas para gerenciamento de regras WAF e introduz complexidade desnecessária com chaves de acesso.