Ein Unternehmen verwaltet mehrere AWS-Konten mit AWS Organizations. Ein zentrales Konto veröffentlicht Basis-Amazon Machine Images (AMIs) für Amazon EC2. Das Unternehmen verwendet AWS Systems Manager für Software-Inventarisierung und Patching. Ein Sicherheitsingenieur benötigt eine unternehmensweite Lösung, die EC2-Instances erkennt, denen ein erforderliches Unternehmenssoftwarepaket fehlt, und die Software automatisch installiert, wenn sie nicht vorhanden ist. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Antwort ist die Aktivierung von AWS Config zentral, die Bereitstellung der verwalteten Regel ec2-managedinstance-applications-required und die Konfiguration einer EventBridge-Regel, die auf AWS Config-Ereignisse reagiert und eine Lambda-Funktion aufruft, um die Software mit Systems Manager Run Command zu installieren. Dies ist die einzige Option, die sowohl die Erkennung fehlender Software als auch die automatische Installation unternehmensweit abdeckt. AWS Config kann die Konformität von EC2-Instances bewerten, und die verwaltete Regel ec2-managedinstance-applications-required ist speziell für diesen Anwendungsfall konzipiert. EventBridge und Lambda bieten die Automatisierung, um auf Nicht-Konformität zu reagieren und die Installation über Run Command auszulösen. Die Option, neue Basis-AMIs zu veröffentlichen, ist ineffizient für bestehende Instances und erfordert eine Neuausrichtung der gesamten Flotte. Eine benutzerdefinierte Patch-Baseline in Patch Manager ist für das Patchen von Betriebssystemen und Anwendungen gedacht, nicht für die Erkennung und Installation fehlender Unternehmenssoftware. Das Erstellen eines Distributor-Pakets und die manuelle Installation über Run Command deckt nicht die automatische Erkennung ab.