Uma empresa usa principalmente o EC2. A equipe de DevOps precisa auditar todas as instâncias EC2 para verificar a instalação de aplicativos proibidos. Qual abordagem satisfaz esse requisito com o menor overhead operacional?

A abordagem correta utiliza o AWS Systems Manager Inventory para coletar dados sobre os aplicativos instalados e o AWS Config para avaliar esses dados. O Systems Manager Agent já vem pré-instalado em muitas AMIs, minimizando o overhead de instalação. O Inventory coleta automaticamente os dados, e o AWS Config, com suas regras personalizadas, pode verificar de forma contínua e automatizada se há aplicativos proibidos, gerando relatórios de conformidade. As outras opções são menos eficientes: A primeira opção envolve a criação de uma função Lambda e a sincronização de dados para o S3, o que adiciona complexidade e overhead operacional em comparação com o AWS Config, que é projetado para avaliação de conformidade. A terceira opção de filtrar o CloudTrail para eventos do Systems Manager Inventory não é a forma ideal de detectar aplicativos proibidos, pois o CloudTrail registra chamadas de API e não o conteúdo detalhado do inventário de aplicativos. A quarta opção de enviar logs para o CloudWatch Logs e usar scripts em cada instância é mais complexa e gera maior overhead operacional, além de ser menos escalável e padronizada que o Systems Manager Inventory e o AWS Config.