Uma empresa usa o AWS Organizations e deseja implantar padrões de design (EC2, ELB, Amazon RDS e Amazon EKS ou Amazon ECS) em ambientes com o AWS CloudFormation StackSets. Os desenvolvedores atualmente criam seus próprios stacks do CloudFormation por meio de um pipeline de CI/CD centralizado em uma conta de serviços compartilhados. A equipe de segurança definiu os requisitos de configuração e deve ser notificada sobre quaisquer recursos não compatíveis sem atrasar a entrega do desenvolvedor. Qual é a solução mais eficiente operacionalmente?

A opção correta é a mais eficiente operacionalmente porque integra a verificação de conformidade no início do pipeline de CI/CD (shift-left security) usando o CloudFormation Guard. Isso permite que os desenvolvedores recebam feedback imediato sobre modelos não conformes antes mesmo da implantação, sem atrasar a entrega. O CloudFormation Guard é uma ferramenta específica para validar a conformidade de modelos do CloudFormation em relação a regras predefinidas. A notificação via SNS garante que a equipe de segurança seja alertada sobre violações. A primeira opção está incorreta porque aws cloudformation validate-template apenas verifica a sintaxe do modelo, não a conformidade com os requisitos de segurança da empresa. A terceira opção é excessivamente complexa e introduz latência desnecessária ao usar S3, SQS e um grupo de Auto Scaling para a validação. A quarta opção é um processo manual e centralizado que não se alinha com a autonomia dos desenvolvedores e a automação do pipeline de CI/CD, além de atrasar a entrega.