Ein Sicherheitsaudit hat viele unverschlüsselte EBS-Volumes in mehreren AWS-Konten gefunden. Sie müssen diese Volumes verschlüsseln und sicherstellen, dass zukünftige unverschlüsselte Volumes automatisch erkannt werden. Das Unternehmen wünscht sich außerdem eine zentralisierte Compliance- und Sicherheitsverwaltung über alle Konten hinweg. Welche Kombination von Maßnahmen sollten Sie ergreifen? (Wählen Sie zwei.)

Die erste korrekte Option löst das Problem der zentralisierten Compliance- und Sicherheitsverwaltung sowie der Erkennung zukünftiger unverschlüsselter Volumes. AWS Control Tower bietet eine Landing Zone mit Best Practices und Guardrails, die die Erstellung unverschlüsselter EBS-Volumes verhindern können ("Highly Recommended" Guardrails umfassen diese Funktion). AWS Organizations ermöglicht die zentrale Verwaltung mehrerer Konten. Die zweite korrekte Option beschreibt den technischen Prozess zur Verschlüsselung bestehender unverschlüsselter EBS-Volumes. EBS-Volumes können nicht direkt im laufenden Betrieb verschlüsselt werden; stattdessen muss ein Snapshot erstellt, dieser verschlüsselt und daraus ein neues verschlüsseltes Volume erstellt werden. Die Option mit der AWS CLI ist ineffizient und skaliert nicht für die automatische Erkennung. Die Option mit "obligatorischen Kontrollen" (Mandatory Guardrails) im Control Tower ist falsch, da diese keine Verschlüsselung von EBS-Volumes erzwingen; dies erfordert "Highly Recommended" Guardrails. CloudTrail und EventBridge können zwar unverschlüsselte Volumes erkennen, aber nicht automatisch verschlüsseln, da dies einen manuellen Prozess oder ein komplexes Skript erfordert, das über die reine Erkennung hinausgeht.