Uma função Lambda inicia uma detecção de desvio (drift detection) do CloudFormation em uma stack e depois é encerrada. Uma regra agendada do EventBridge executa esta Lambda a cada hora. Um tópico SNS existe e o engenheiro está inscrito nele. O engenheiro deseja ser notificado o mais rápido possível quando um desvio for detectado para essa stack. Qual solução satisfaz esse requisito?

A solução correta é habilitar o AWS Config com a regra gerenciada cloudformation-stack-drift-detection-check e criar uma regra do EventBridge para reagir a eventos de não conformidade, direcionando-os ao tópico SNS. O AWS Config monitora continuamente o status de conformidade da stack em relação ao seu modelo, detectando desvios automaticamente e gerando eventos que o EventBridge pode capturar imediatamente, garantindo notificação rápida. A opção de usar a regra existente do EventBridge para direcionar o SNS com uma política de filtro não funciona, pois a detecção de desvio do CloudFormation não emite eventos diretamente para o EventBridge que possam ser filtrados dessa forma para notificação imediata de desvio. A criação de uma segunda Lambda para consultar o CloudFormation introduz latência e complexidade desnecessárias, pois a Lambda precisaria ser invocada e o CloudFormation consultado periodicamente. O GuardDuty não oferece detecção de desvio para stacks do CloudFormation; ele se concentra em ameaças de segurança.