Ein Lösungsarchitekt muss eine automatisierte Compliance-Kontrolle implementieren, die Security-Group-Regeln verbietet, die SSH von 0.0.0.0/0 zulassen. Das Unternehmen muss benachrichtigt werden, wenn die Richtlinie verletzt wird, und benötigt so schnell wie möglich eine Lösung mit dem geringsten Betriebsaufwand. Was sollte der Lösungsarchitekt tun?

Die Aktivierung der verwalteten AWS Config-Regel „restricted-ssh“ ist die effizienteste Lösung, da sie speziell für die Erkennung von Security Groups entwickelt wurde, die SSH-Zugriff von 0.0.0.0/0 zulassen. AWS Config ist ein vollständig verwalteter Dienst, der Compliance-Kontrollen automatisiert und den Betriebsaufwand minimiert. Die Integration mit Amazon SNS ermöglicht sofortige Benachrichtigungen bei Regelverletzungen. Ein AWS Lambda-Skript zu schreiben, wäre eine mögliche Lösung, erfordert jedoch mehr Entwicklungs- und Wartungsaufwand. Das Erstellen einer IAM-Rolle und die Benachrichtigung bei deren Übernahme würde das Problem nicht direkt lösen, da es nicht die Erstellung der unsicheren Security Group-Regel verhindert oder erkennt. Eine Service Control Policy (SCP) wäre zwar eine präventive Maßnahme, würde aber nicht die Erkennung bestehender oder neu erstellter, nicht konformer Regeln durch nicht-administrative Benutzer abdecken und erfordert einen höheren administrativen Aufwand für die Anforderungsverarbeitung.