Uma empresa usa o AWS Organizations e implantou uma landing zone com o AWS Control Tower. A empresa precisa de governança para que as instâncias de banco de dados do Amazon RDS que não estão criptografadas em repouso na OU de produção sejam detectadas. Qual solução satisfaz esse requisito?

A solução correta é habilitar o guardrail apropriado da lista de guardrails fortemente recomendados do AWS Control Tower e aplicá-lo à OU de produção. O AWS Control Tower oferece guardrails pré-configurados, incluindo um para detectar instâncias do Amazon RDS que não estão criptografadas em repouso. Este é um guardrail proativo ou detectivo que se alinha perfeitamente com o requisito de governança. As outras opções são incorretas porque: Habilitar guardrails obrigatórios não é a abordagem correta, pois o guardrail específico para criptografia do RDS não é um guardrail obrigatório por padrão. Usar o AWS Config para criar um novo guardrail obrigatório é desnecessário, pois o Control Tower já oferece um guardrail para esse caso de uso. Criar um novo guardrail obrigatório é um processo mais complexo e não é a forma padrão de usar os guardrails existentes. Criar uma política de controle de serviço (SCP) personalizada não é a solução ideal, pois as SCPs são usadas para prevenir ações, não para detectar recursos existentes que não cumprem uma política. Além disso, o Control Tower já oferece um guardrail detectivo para este cenário.