Ein Bankunternehmen hat eine Anwendung, die nur bestimmte öffentliche IP-Adressen von einer VPC aus erreichen darf. Eine Routing-Tabelle für das Subnetz der Anwendung hat Routen zu diesen öffentlichen IPs über ein Internet-Gateway. Der Ingenieur benötigt E-Mail-Benachrichtigungen, wenn jemand eine Standardroute in der Routing-Tabelle dieses Subnetzes hinzufügt, die auf das Internet-Gateway zeigt. Welche Lösung erfordert den geringsten Implementierungsaufwand?

Die korrekte Lösung ist die Erstellung einer AWS Config-Regel mit der verwalteten Regel no-unrestricted-route-to-igw. Diese Regel ist speziell dafür konzipiert, Routing-Tabellen zu überwachen, die eine Standardroute (0.0.0.0/0 oder ::/0) zu einem Internet-Gateway (IGW) haben. Wenn eine solche Route hinzugefügt wird, markiert Config die Ressource als nicht konform. Eine Amazon EventBridge-Regel kann dann so konfiguriert werden, dass sie auf diese Konformitätsänderung reagiert und eine Benachrichtigung über Amazon SNS sendet. Dies ist der Ansatz mit dem geringsten Implementierungsaufwand, da er auf verwalteten AWS-Diensten basiert und keine benutzerdefinierte Logik in Lambda erfordert. Die Option mit der Lambda-Funktion, die alle Minuten Routen liest, ist ineffizient und erfordert mehr Implementierungsaufwand für die Logik und das Scheduling. Die Option mit der Lambda-Funktion, die durch CreateRoute API-Aufrufe ausgelöst wird, würde nicht alle Fälle abdecken (z.B. Änderungen durch die Konsole oder andere Dienste) und erfordert ebenfalls benutzerdefinierte Logik. Die Verwendung der AWS Config-Regel internet-gateway-authorized-vpc-only ist nicht korrekt, da diese Regel prüft, ob ein IGW an eine autorisierte VPC angehängt ist, nicht ob eine Routing-Tabelle eine uneingeschränkte Route zu einem IGW hat.