Das Unternehmen führt Tests in einem einzigen AWS-Konto auf Amazon EC2-Instances aus. AWS Config ist mit der verwalteten Regel „restricted-ssh“ aktiviert. Das Team benötigt eine automatisierte Echtzeitbenachrichtigung, die angepasst ist und den Namen und die ID der nicht konformen Sicherheitsgruppe enthält, wenn eine Sicherheitsgruppe gegen die Regel „restricted-ssh“ verstößt. Ein SNS-Thema mit den entsprechenden Abonnenten existiert bereits. Was sollte der DevOps-Ingenieur als Nächstes tun, um diese Anforderung zu erfüllen?

Die korrekte Option nutzt Amazon EventBridge, um auf AWS Config-Evaluierungsergebnisse zu reagieren. EventBridge kann so konfiguriert werden, dass es auf den Status NONCOMPLIANT für die spezifische Regel restricted-ssh filtert. Der Input Transformer ist entscheidend, da er es ermöglicht, die benötigten Informationen (Sicherheitsgruppenname und -ID) aus dem Event-Payload zu extrahieren und eine benutzerdefinierte Nachricht zu formatieren, bevor diese an das SNS-Thema gesendet wird. Die Option, AWS Config direkt an SNS zu senden und eine Filterrichtlinie anzuwenden, ist unzureichend, da SNS-Filterrichtlinien keine Transformation des Nachrichteninhalts erlauben, um die spezifischen Details zu extrahieren. Die Option mit AWS Systems Manager Run Command ist unnötig komplex und nicht der direkte Weg, um eine benutzerdefinierte Benachrichtigung an SNS zu senden. Die letzte Option ist zu breit gefasst, da sie alle NONCOMPLIANT-Ergebnisse abgleicht und der Input Transformer nicht spezifisch genug für die Regel restricted-ssh konfiguriert ist, was zu unerwünschten Benachrichtigungen führen könnte.