Uma organização deseja um método centralizado e automatizado em todas as contas no AWS Organizations para detectar grupos de segurança que permitem tráfego de entrada de 0.0.0.0/0 e remediar automaticamente as violações, substituindo essa origem amplamente aberta pelo CIDR da intranet aprovada da empresa. Que ações um administrador SysOps deve implementar para conseguir isso?

A opção correta é implantar uma regra do AWS Config porque ele é projetado para avaliar, auditar e monitorar continuamente as configurações dos recursos da AWS. Uma regra do AWS Config pode ser configurada para sinalizar grupos de segurança que permitem tráfego de entrada de 0.0.0.0/0 e, crucialmente, pode acionar ações de remediação automática para substituir essa origem pelo CIDR da intranet aprovada. Isso fornece uma solução centralizada e automatizada em todas as contas do AWS Organizations. Criar uma política do IAM que negue a criação de grupos de segurança com 0.0.0.0/0 não remedia grupos de segurança existentes e exige anexar a política a cada usuário, o que não é escalável. Construir uma função AWS Lambda exigiria gerenciamento e orquestração adicionais para varrer continuamente e remediar em todas as contas, o que o AWS Config já faz. Aplicar uma SCP pode bloquear a criação, mas não oferece remediação automática para recursos existentes e não pode modificar as regras do grupo de segurança diretamente.