Eine Organisation wünscht sich eine zentralisierte, automatisierte Methode über alle Konten in AWS Organizations hinweg, um Sicherheitsgruppen zu erkennen, die eingehenden Datenverkehr von 0.0.0.0/0 zulassen, und um Verstöße automatisch zu beheben, indem diese weit offene Quelle durch das genehmigte Intranet-CIDR des Unternehmens ersetzt wird. Welche Maßnahmen sollte ein SysOps-Administrator ergreifen, um dies zu erreichen?

Eine AWS Config-Regel mit automatischer Behebung ist die effektivste Methode, da sie sowohl die Erkennung als auch die automatische Korrektur von nicht konformen Sicherheitsgruppen über mehrere Konten hinweg ermöglicht. Config kann kontinuierlich den Zustand von Ressourcen überwachen und bei Abweichungen von der gewünschten Konfiguration (hier: 0.0.0.0/0 in Sicherheitsgruppen) automatisch Korrekturmaßnahmen einleiten, indem es die Quelle durch den genehmigten CIDR-Block ersetzt. Eine IAM-Richtlinie würde nur die Erstellung neuer, nicht konformer Sicherheitsgruppen verhindern, aber bestehende nicht korrigieren. Eine Lambda-Funktion müsste manuell entwickelt und gewartet werden, während AWS Config eine verwaltete Lösung bietet. Eine SCP kann die Erstellung blockieren, aber keine automatische Behebung durchführen, um 0.0.0.0/0 zu ersetzen; SCPs sind für präventive Kontrollen gedacht, nicht für die Behebung von Konfigurationsfehlern.