Ein Unternehmen nutzt AWS Organizations und möchte Standard-Designmuster (EC2, ELB, Amazon RDS und Amazon EKS oder Amazon ECS) mithilfe von AWS CloudFormation StackSets über verschiedene Umgebungen hinweg bereitstellen. Entwickler erstellen derzeit ihre eigenen CloudFormation-Stacks über eine zentralisierte CI/CD-Pipeline in einem Shared Services Account. Das Sicherheitsteam hat Konfigurationsanforderungen definiert und muss über nicht konforme Ressourcen benachrichtigt werden, ohne die Bereitstellung durch die Entwickler zu verlangsamen. Was ist die betrieblich effizienteste Lösung?

Die korrekte Antwort ist die effizienteste Lösung, da sie die Einhaltung von Sicherheitsrichtlinien frühzeitig im Entwicklungszyklus (Shift-Left-Security) überprüft, ohne die Bereitstellung zu blockieren. CloudFormation Guard ermöglicht die Definition von Richtlinien als Code, die vor der Bereitstellung gegen die CloudFormation-Vorlagen geprüft werden. Bei Verstößen wird das Sicherheitsteam über SNS benachrichtigt. Dies gewährleistet, dass Entwickler weiterhin bereitstellen können, während das Sicherheitsteam über potenzielle Nichtkonformitäten informiert wird. Die erste Option ist weniger effektiv, da aws cloudformation validate-template nur die syntaktische Korrektheit der Vorlage prüft, nicht aber die Einhaltung spezifischer Sicherheitskonfigurationen. Die dritte Option ist zu komplex und würde die Bereitstellung durch die Einführung einer SQS-Warteschlange und einer Auto Scaling-Gruppe unnötig verlangsamen und blockieren, wenn Vorlagen nicht konform sind. Die vierte Option ist keine automatisierte Lösung zur Durchsetzung von Konfigurationsanforderungen und würde die Entwicklungsgeschwindigkeit durch manuelle Überprüfungen beeinträchtigen.