某公司要求所有云资源都必须使用 CloudFormation 部署，并希望在 CloudFormation 之外创建 IAM 角色时立即通知安全团队。目前已有一个 SNS topic，并已订阅安全团队的电子邮件。请问，当在 CloudFormation 之外创建角色时，哪种解决方案能够发送即时通知？

正确答案是创建一个 Amazon EventBridge 规则，匹配 CloudTrail 中非 CloudFormation 产生的 IAM 角色创建事件，并将 SNS topic 设置为该规则的目标。这是因为 EventBridge 能够近实时地捕获 CloudTrail 事件，并根据定义的模式进行过滤。通过匹配 IAM 角色创建事件（CreateRole）并排除由 CloudFormation 创建的事件（通过检查事件源或用户身份），可以直接将这些非预期的创建操作发送到 SNS topic，实现即时通知。 其他选项不理想的原因： Lambda 函数、ECS Fargate 任务和 EC2 实例的方案都需要定时触发（每15分钟），这无法满足“即时通知”的要求。这些方案会引入延迟，并且需要额外的计算资源和管理开销。EventBridge 是事件驱动的，能够立即响应事件，更符合需求。