Uma única conta AWS em uma Região executa centenas de instâncias EC2 que são frequentemente iniciadas e encerradas. A política de segurança exige que cada instância EC2 em execução tenha um perfil de instância; se nenhum for anexado, um perfil padrão sem permissões IAM deve ser aplicado. O engenheiro encontrou instâncias existentes sem um perfil de instância e lançamentos contínuos que também omitem um perfil. O que garantirá que todas as instâncias EC2 atuais e futuras na Região tenham um perfil de instância anexado?

A regra gerenciada do AWS Config ec2-instance-profile-attached verifica se as instâncias EC2 têm um perfil de instância anexado. Ao habilitar a correção automática, você pode configurar um runbook de automação do Systems Manager para anexar o perfil de instância padrão às instâncias que não o possuem, garantindo conformidade para instâncias existentes e futuras. A opção de regra do EventBridge com RunInstances pode anexar o perfil, mas não aborda instâncias existentes sem perfil. A opção StartInstances não é ideal, pois uma instância pode ser iniciada sem um perfil e só seria corrigida após a inicialização, não no lançamento. A regra iam-role-managed-policy-check verifica políticas em perfis de IAM, não a anexação de perfis a instâncias EC2.