Ein CloudFormation-Template stellt VPC- und EC2-Sicherheitsgruppen bereit. Ein Manager entdeckt, dass einige Ingenieure die Sicherheitsgruppeneinstellungen auf einigen EC2-Instanzen zu Testzwecken geändert haben. Ein Entwickler muss feststellen, welche Änderungen vorgenommen wurden. Welche Methode identifiziert die Modifikationen?

Die CloudFormation-Drift-Erkennung ist die korrekte Methode, da sie speziell dafür entwickelt wurde, Abweichungen zwischen dem aktuellen Zustand der Stack-Ressourcen und ihrer Definition im CloudFormation-Template zu identifizieren. Wenn Ingenieure die Sicherheitsgruppen manuell ändern, weichen diese vom Template ab, und die Drift-Erkennung würde dies aufzeigen. Ein Conditions-Abschnitt im Template steuert die Erstellung von Ressourcen basierend auf bestimmten Bedingungen, identifiziert aber keine nachträglichen Änderungen. Ein CloudFormation-Change-Set zeigt geplante Änderungen an, die durch eine Template-Aktualisierung vorgenommen werden würden, nicht aber manuelle Änderungen, die außerhalb von CloudFormation durchgeführt wurden. Amazon Detective ist ein Sicherheitsdienst, der zur Analyse und Untersuchung von Sicherheitserkenntnissen verwendet wird, aber nicht direkt zur Erkennung von Konfigurationsdrift in CloudFormation-Ressourcen dient.