Uma organização usa o AWS Organizations para gerenciar várias contas. A política de segurança exige que todos os volumes do Amazon EBS não criptografados sejam marcados como não conformes. Um engenheiro de DevOps deve implantar uma verificação de conformidade automatizada e sempre presente. Qual abordagem realiza isso?

A criação de uma regra organizacional do AWS Config é a abordagem mais eficaz para garantir a conformidade contínua em várias contas, pois o AWS Config avalia os recursos em todas as contas da organização. A implantação via AWS CLI permite automação. Um Service Control Policy (SCP) que proíbe a interrupção e exclusão do AWS Config garante que a verificação de conformidade permaneça ativa e não possa ser desabilitada por contas individuais. As outras opções são menos adequadas: O AWS Inspector foca em vulnerabilidades de segurança e não em conformidade de configuração de recursos como a criptografia de EBS. Um SCP pode impedir a criação de recursos não conformes, mas não marca recursos existentes como não conformes, nem avalia o estado de recursos já provisionados. Uma função Lambda com CodePipeline pode listar volumes, mas é uma solução reativa e não uma verificação de conformidade contínua e automatizada como o AWS Config.