Eine Organisation verwendet AWS Organizations, um mehrere Konten zu verwalten. Die Sicherheitsrichtlinie erfordert, dass alle unverschlüsselten Amazon EBS-Volumes als nicht konform gekennzeichnet werden. Ein DevOps-Ingenieur muss eine automatisierte, stets vorhandene Konformitätsprüfung bereitstellen. Welcher Ansatz erreicht dies?

Die korrekte Antwort ist die AWS Config-Organisationsregel. AWS Config ist der primäre Dienst für die Bewertung der Konformität von AWS-Ressourcen. Eine Organisationsregel ermöglicht die zentrale Bereitstellung und Verwaltung dieser Regeln über alle Konten in AWS Organizations hinweg, was die Anforderung einer "stets vorhandenen Konformitätsprüfung" erfüllt. Das Hinzufügen einer Service Control Policy (SCP) zum Verhindern des Anhaltens oder Löschens von AWS Config schützt die Konfigurationsüberwachung vor Manipulationen und gewährleistet eine kontinuierliche Überprüfung. Die anderen Optionen sind weniger geeignet: AWS Inspector ist ein Sicherheitsbewertungsdienst, der für die Erkennung von Schwachstellen in EC2-Instanzen und Anwendungen konzipiert ist, nicht für die kontinuierliche Konformitätsprüfung von EBS-Volumes. Eine SCP kann die Erstellung unverschlüsselter EBS-Volumes verhindern, aber sie prüft nicht die Konformität bestehender Volumes oder markiert sie als nicht konform. Sie ist ein präventives, kein reaktives Tool zur Konformitätsprüfung. Eine Lambda-basierte Lösung über CodePipeline wäre eine benutzerdefinierte Implementierung, die mehr Wartungsaufwand erfordert und nicht die integrierte Funktionalität von AWS Config für die Konformitätsbewertung nutzt.