Ein Unternehmen nutzt Infrastructure as Code (IaC) mit AWS CloudFormation-Vorlagen und einer bestehenden CI/CD-Pipeline, um AWS-Ressourcen bereitzustellen. Nach einem Sicherheitsaudit möchte das Unternehmen Policy as Code durchsetzen, um die Bereitstellung nicht konformer Ressourcen (z. B. eines unverschlüsselten Amazon EBS-Volumes) zu verhindern. Welche Lösung erfüllt diese Anforderung?

Die korrekte Antwort ist die Erstellung von Regelsätzen mit AWS CloudFormation Guard und die Ausführung von Vorlagenvalidierungen als Phase in der CI/CD-Pipeline. CloudFormation Guard ist ein Open-Source-Tool, das es ermöglicht, Policy as Code zu definieren und CloudFormation-Vorlagen vor der Bereitstellung gegen diese Richtlinien zu validieren. Dies verhindert proaktiv die Bereitstellung nicht konformer Ressourcen. AWS Trusted Advisor bietet zwar Sicherheitsprüfungen, ist aber reaktiv und nicht für die präventive Policy-Durchsetzung in einer CI/CD-Pipeline konzipiert. AWS Config ist ebenfalls reaktiv; es meldet die Nichtkonformität nach der Bereitstellung der Ressource, nicht davor. Service Control Policies (SCPs) sind für die Durchsetzung von Berechtigungen auf Organisationsebene gedacht und können nicht direkt zur Validierung von CloudFormation-Vorlagen innerhalb einer CI/CD-Pipeline verwendet werden, um die Bereitstellung nicht konformer Ressourcen zu verhindern.