Das Unternehmen muss sicherstellen, dass VPC Flow Logs für alle aktuellen und zukünftigen VPCs im Konto aktiviert sind. VPCs werden mit einem CloudFormation-Stack verwaltet, aber Benutzer können VPCs auch direkt erstellen. Welcher Ansatz erzwingt Flow Logs für bestehende und neu erstellte VPCs durch jeden IAM-Benutzer?

Die korrekte Antwort ist, AWS Config zu aktivieren, eine Config-Regel hinzuzufügen, die prüft, ob VPC Flow Logs aktiviert sind, und eine automatische Behebung zu konfigurieren, um Flow Logs zu aktivieren. Dieser Ansatz stellt sicher, dass sowohl bestehende als auch zukünftige VPCs, unabhängig davon, wie sie erstellt wurden (CloudFormation oder manuell), die Flow Logs aktiviert haben. AWS Config überwacht kontinuierlich die Ressourcenkonformität und kann Abweichungen automatisch korrigieren. Das Hinzufügen einer AWS::EC2::FlowLog-Ressource zu CloudFormation-Templates deckt nur VPCs ab, die über CloudFormation erstellt werden, nicht aber manuell erstellte VPCs. Eine AWS Organization SCP verhindert lediglich Änderungen an Flow Logs, erzwingt aber nicht deren Aktivierung. Eine IAM-Richtlinie, die API-Aufrufe im Zusammenhang mit VPC Flow Logs verweigert, würde die Aktivierung von Flow Logs durch Benutzer verhindern, nicht aber deren Erzwingung.