Fabrikam Health 已经在使用 AWS Config 托管规则 restricted-ssh 来检测允许 0.0.0.0/0 访问 TCP/22 的安全组。他们希望在规则报告 NON_COMPLIANT 后一分钟内自动修复，移除违规的入站规则。最合适的方案是什么？

此选项直接响应 AWS Config 规则的 NONCOMPLIANT 状态，通过 EventBridge 触发 Lambda 函数进行精确修复。EventBridge 规则配置了特定事件模式，只在 restricted-ssh 规则报告 NONCOMPLIANT 时触发，确保了自动化修复的及时性和针对性。Lambda 函数调用 RevokeSecurityGroupIngress API 移除违规规则，实现了自动修复。 其他选项不合适： 创建自定义 AWS Config 规则并在 COMPLIANT 时调用 Lambda 函数无法实现违规后的自动修复，且可能导致循环。 每小时运行的计划 EventBridge 规则不能提供一分钟内修复的及时性，且扫描所有安全组效率较低。 AWS Firewall Manager 确实可以集中管理安全组策略，但它主要用于预防和统一管理，而不是在现有违规发生后立即自动修复。虽然它可以强制执行策略，但题目要求的是对现有违规的自动修复，且需要额外配置来达到此目的，不如直接响应 Config 规则更直接。