Ein kürzlich fehlgeschlagenes CloudFormation-Stack-Update führte dazu, dass ein DevOps-Ingenieur feststellte, dass einige Stack-Ressourcen manuell geändert wurden. Der Ingenieur muss manuelle Änderungen an CloudFormation-verwalteten Ressourcen erkennen und den DevOps-Leiter mit minimalem Betriebsaufwand benachrichtigen. Welche Lösung erfüllt diese Anforderung?

Die korrekte Lösung nutzt die verwaltete AWS Config-Regel CLOUDFORMATIONSTACKDRIFTDETECTIONCHECK, die speziell dafür entwickelt wurde, Drift in CloudFormation-Stacks zu erkennen. Drift tritt auf, wenn die tatsächlichen Konfigurationen von Stack-Ressourcen von der im CloudFormation-Template definierten Konfiguration abweichen. Wenn diese Regel eine Abweichung (NONCOMPLIANT) feststellt, löst eine EventBridge-Regel, die auf diesen Status reagiert, eine Benachrichtigung über ein Amazon SNS-Thema an den DevOps-Leiter aus. Dies ist der effizienteste Weg mit minimalem Betriebsaufwand, da keine benutzerdefinierte Logik oder zusätzliche Dienste wie AWS Lambda für die Benachrichtigung erforderlich sind. Die Option mit der benutzerdefinierten AWS Config-Regel und Lambda ist zu komplex und erfordert mehr Betriebsaufwand. Die Option, die bei COMPLIANT-Status auslöst, würde bei korrekten Zuständen benachrichtigen, was unerwünscht ist. Die Option ohne SNS-Thema, die direkt eine Lambda-Funktion zum Senden von E-Mails verwendet, ist ebenfalls möglich, aber die Verwendung von SNS ist eine bewährte Methode für Benachrichtigungen und bietet mehr Flexibilität für Abonnenten.