Ein Benutzer hat versehentlich eine Datenbankeigenschaft in einer CloudFormation-Vorlage geändert und ein Stack-Update ausgeführt, was zu Anwendungsausfallzeiten führte. Das DevOps-Team muss weiterhin Stacks bereitstellen können, aber versehentliche Änderungen an bestimmten kritischen Ressourcen müssen blockiert werden. Welche Änderung am Bereitstellungsprozess erfüllt diese Anforderung?

CloudFormation-Stack-Richtlinien sind der korrekte Mechanismus, um versehentliche Updates für bestimmte Stack-Ressourcen zu verhindern. Eine Stack-Richtlinie wird auf den Stack selbst angewendet und definiert, welche Update-Aktionen für welche Ressourcen zulässig sind. Indem Sie eine Richtlinie erstellen, die "Update:" für die kritischen Ressourcen explizit verweigert, stellen Sie sicher, dass diese Ressourcen nicht versehentlich geändert werden können, während andere Ressourcen weiterhin aktualisiert werden dürfen. Die Option mit AWS Config ist reaktiv und würde den Stack erst nach dem Update überprüfen, was die Ausfallzeit nicht verhindert. Die EventBridge-Regel ist ebenfalls reaktiv und würde das Update möglicherweise nicht rechtzeitig abbrechen, um Ausfallzeiten zu vermeiden. Eine IAM-Richtlinie würde die Berechtigungen für die DevOps-Rolle einschränken, was zu breiteren Einschränkungen führen könnte, als nur bestimmte Ressourcen zu schützen, und ist weniger granular als eine Stack-Richtlinie.