Eine Lambda-Funktion startet eine CloudFormation-Drift-Erkennung für einen Stack und wird dann beendet. Eine geplante EventBridge-Regel führt diese Lambda-Funktion stündlich aus. Ein SNS-Thema existiert und der Ingenieur ist dafür abonniert. Der Ingenieur möchte so schnell wie möglich benachrichtigt werden, wenn eine Drift für diesen Stack erkannt wird. Welche Lösung erfüllt diese Anforderung?

Die korrekte Lösung ist die Aktivierung von AWS Config mit der verwalteten Regel cloudformation-stack-drift-detection-check. Diese Regel überwacht kontinuierlich CloudFormation-Stacks auf Drift. Wenn eine Drift erkannt wird, ändert sich der Compliance-Status der Regel, was ein Ereignis in EventBridge auslöst. Eine EventBridge-Regel kann dann so konfiguriert werden, dass sie auf dieses Compliance-Änderungsereignis reagiert und eine Benachrichtigung an das SNS-Thema sendet, wodurch der Ingenieur sofort informiert wird. Die Option, die bestehende EventBridge-Regel direkt das SNS-Thema ansprechen zu lassen, ist unzureichend, da die Lambda-Funktion nur die Drift-Erkennung startet, aber nicht auf deren Ergebnis wartet oder es meldet. Eine zweite Lambda-Funktion, die CloudFormation abfragt, wäre eine unnötig komplexe und potenziell latenzbehaftete Lösung. GuardDuty ist für die Erkennung von Bedrohungen und nicht für die CloudFormation-Drift-Erkennung vorgesehen.