Entwickler dürfen EC2-Instances nur aus einem genehmigten Satz von AMIs starten, aber einige starten immer noch Instances aus nicht genehmigten Images. Das Betriebsteam benötigt eine automatisierte Methode, um jede EC2-Instance zu erkennen und zu beenden, die von einem AMI gestartet wurde, das nicht auf der genehmigten Liste steht. Welcher Ansatz erfüllt diese Anforderung?

Diese Option ist korrekt, weil AWS Config speziell dafür entwickelt wurde, die Konformität von AWS-Ressourcen zu überwachen. Eine verwaltete Regel kann so konfiguriert werden, dass sie prüft, ob EC2-Instances von AMIs gestartet wurden, die sich auf einer genehmigten Liste befinden. Bei Nichtkonformität kann eine automatische Behebung ausgelöst werden, die ein AWS Systems Manager Automation-Runbook startet, um die nicht konforme Instance zu beenden. Dies bietet eine automatisierte und skalierbare Lösung. Die anderen Optionen sind weniger geeignet: DynamoDB und EC2-Startvorlagen sind nicht für die Überwachung und automatische Behebung laufender Instances gedacht. Startvorlagen definieren, wie Instances gestartet werden, überwachen aber nicht die Konformität nach dem Start. CloudWatch-Metriken können zwar Instance-Informationen liefern, aber es gibt keine direkte Metrik, die den Konformitätsstatus eines AMIs mit einer genehmigten Liste vergleicht und direkt eine Beendigung auslöst. Amazon Inspector konzentriert sich auf Sicherheitsbewertungen und Schwachstellen, nicht auf die Überprüfung der Konformität von AMIs mit einer genehmigten Liste. Eine benutzerdefinierte Regel wäre komplex und nicht der primäre Anwendungsfall von Inspector.