Ein einzelnes AWS-Konto in einer Region betreibt Hunderte von EC2-Instances, die häufig gestartet und beendet werden. Die Sicherheitsrichtlinie verlangt, dass jede laufende EC2-Instance ein Instance-Profil hat; wenn keines angehängt ist, muss ein Standardprofil ohne IAM-Berechtigungen angewendet werden. Der Ingenieur fand bestehende Instances ohne Instance-Profil und laufende Starts, die ebenfalls ein Profil weglassen. Was stellt sicher, dass alle aktuellen und zukünftigen EC2-Instances in der Region ein Instance-Profil angehängt haben?

Die AWS Config Managed Rule ec2-instance-profile-attached ist speziell dafür konzipiert, zu überprüfen, ob EC2-Instances ein Instance-Profil angehängt haben. Wenn eine Instance ohne Profil erkannt wird (durch Konfigurationsänderungen ausgelöst), kann eine automatische Behebung konfiguriert werden. Diese Behebung kann ein Systems Manager Automation Runbook ausführen, um das Standard-Instance-Profil anzuhängen. Dies deckt sowohl bestehende als auch neu gestartete Instances ab und stellt die Einhaltung der Sicherheitsrichtlinie sicher. Die Option mit EventBridge und RunInstances API-Aufrufen ist weniger robust, da sie nur neue Starts abfängt und keine bestehenden, nicht konformen Instances korrigiert. Die Option mit StartInstances ist ebenfalls unvollständig, da sie nur das Starten von bereits gestoppten Instances betrifft, nicht aber das erstmalige Starten. Die iam-role-managed-policy-check Regel ist irrelevant, da sie die Richtlinien einer IAM-Rolle überprüft, nicht ob ein Instance-Profil an eine EC2-Instance angehängt ist.