Mithilfe des AWS Control Tower Management-Kontos und von CloudFormation StackSets muss ein DevOps-Ingenieur Amazon GuardDuty für Konten aktivieren, die es noch nicht aktiviert haben. Wie sollte die CloudFormation-Vorlage gestaltet werden, um Fehler bei der StackSets-Bereitstellung zu vermeiden?

Die korrekte Lösung besteht darin, eine benutzerdefinierte CloudFormation-Ressource zu verwenden, die eine Lambda-Funktion aufruft. Diese Lambda-Funktion kann programmatisch (z.B. mit dem AWS SDK) prüfen, ob GuardDuty in einem Konto bereits aktiviert ist. Ist dies nicht der Fall, aktiviert die Funktion GuardDuty. Dies verhindert Fehler bei der StackSets-Bereitstellung, da GuardDuty nicht versucht wird zu aktivieren, wenn es bereits läuft. Die Verwendung von "Conditions" in CloudFormation ist nicht ausreichend, da sie keine dynamische Überprüfung des GuardDuty-Status in einem Konto vor der Bereitstellung ermöglicht. Fn::GetAtt ist eine intrinsische Funktion, die Attributwerte von bereits existierenden Ressourcen abruft, aber nicht dazu dient, den Zustand eines Dienstes vor der Erstellung zu prüfen oder bedingt Ressourcen zu erstellen. Das manuelle Zusammenstellen von Konto-IDs ist ineffizient und fehleranfällig in einer dynamischen Umgebung.