Das DevOps-Team eines Unternehmens verwaltet mehrere AWS-Konten innerhalb einer AWS Organizations-Organisation. Es muss sicherstellen, dass jede Amazon EC2-Instance nur AMIs verwendet, die vom DevOps-Team genehmigt wurden, und dass alle Instances, die von nicht genehmigten AMIs gestartet wurden, automatisch behoben werden. Einzelne Kontoadministratoren dürfen diese Einschränkung nicht aufheben können. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist die Aktivierung von AWS Config organisationsweit mit einem Conformance Pack. Dies ermöglicht eine zentrale Verwaltung und Durchsetzung von Compliance-Regeln über alle Konten hinweg, was durch die Anforderung "Einzelne Kontoadministratoren dürfen diese Einschränkung nicht aufheben können" impliziert wird. Die verwaltete AWS Config-Regel approved-amis-by-id in Kombination mit einem Systems Manager Automation-Runbook (AWS-StopEC2Instance) erfüllt die Anforderung, nicht genehmigte Instances automatisch zu beheben. Die Option mit CloudFormation StackSets und einer EventBridge-Regel, die auf CloudTrail-Ereignisse reagiert und SNS-Benachrichtigungen sendet, würde zwar eine Benachrichtigung ermöglichen, aber keine automatische Behebung durchführen. Die manuelle Bereitstellung einer Lambda-Funktion in jedem Konto ist weniger effizient und skaliert schlechter als eine organisationsweite AWS Config-Lösung. Die Option mit CloudFormation StackSets und der approved-amis-by-id-Regel ohne organisationsweite Aktivierung von AWS Config würde die zentrale Kontrolle und Unaufhebbarkeit durch Kontoadministratoren nicht ausreichend gewährleisten.