Ein Unternehmen verlangt, dass interne Teams Ressourcen nur über genehmigte CloudFormation-Vorlagen bereitstellen, und das Sicherheitsteam benötigt eine automatisierte Erkennung, wenn Ressourcen von ihrem erwarteten Zustand abweichen. Welche Strategie erfüllt beide Anforderungen mit angemessener Durchsetzung und automatisierter Überwachung?

Die korrekte Antwort ist, AWS Service Catalog für die Bereitstellung zu nutzen, Startbeschränkungen durchzusetzen und AWS Config-Regeln für die Drift-Erkennung zu verwenden. AWS Service Catalog stellt sicher, dass Ressourcen nur über genehmigte CloudFormation-Vorlagen bereitgestellt werden, da Benutzer nur auf vordefinierte Produkte zugreifen können. Startbeschränkungen (Launch Constraints) ermöglichen es, eine IAM-Rolle zu definieren, die Service Catalog beim Starten eines Produkts annimmt, wodurch die Berechtigungen für die Ressourcenerstellung zentral kontrolliert werden. AWS Config-Regeln sind ideal, um Abweichungen vom erwarteten Zustand zu erkennen und automatisch zu überwachen. Die Option, CloudFormation-Servicerollen und Drift-Erkennung zu nutzen, erfüllt nicht die Anforderung, dass Ressourcen nur über genehmigte Vorlagen bereitgestellt werden, da Benutzer weiterhin direkt CloudFormation-Stacks erstellen könnten. CloudFormation Drift Detection ist zwar nützlich, aber AWS Config bietet umfassendere und anpassbarere Regeln für die Konformitätsüberwachung. Die Option mit EventBridge-Benachrichtigungen ist weniger geeignet für die kontinuierliche Konformitätsprüfung als AWS Config-Regeln.