解决方案架构师必须实施一项自动化合规性控制，以禁止安全组规则允许来自 0.0.0.0/0 的 SSH 访问。当策略被违反时，公司必须收到通知，并且需要尽快以最少的操作开销获得解决方案。解决方案架构师应该怎么做？

正确答案是启用 restricted-ssh AWS Config 托管规则，并在创建不合规规则时生成 Amazon Simple Notification Service (Amazon SNS) 通知。AWS Config 托管规则提供了预定义的合规性检查，其中 restricted-ssh 规则专门用于检测安全组中允许来自 0.0.0.0/0 的 SSH 访问。当此规则检测到不合规资源时，可以自动触发 SNS 通知，从而满足了在策略被违反时接收通知的要求，并且操作开销最小。 编写 Lambda 脚本虽然可行，但需要额外的开发和维护工作，增加了操作开销。创建 IAM 角色并监控其承担情况与安全组的合规性检查无关。配置 SCP 可以限制用户创建或编辑安全组的权限，但它不能主动检测和通知现有或新创建的不合规安全组规则。