Orbital Commerce muss sicherstellen, dass jede VPC in allen Mitgliedskonten und Regionen ihrer AWS Organization mindestens ein aktiviertes VPC Flow Log hat, und sie möchten, dass nicht konforme VPCs automatisch behoben werden. Ein zentrales Sicherheitsteam benötigt außerdem eine organisationsweite Compliance-Ansicht. Was ist die BESTE Lösung?

Die korrekte Lösung nutzt AWS Config als Organisationsregel mit automatischer Korrektur, was die Anforderungen am besten erfüllt. Das Benennen eines AWS Config-Administratorkontos ermöglicht die zentrale Verwaltung von Config-Regeln und Aggregatoren über die gesamte Organisation hinweg. Die verwaltete Regel vpc-flow-logs-enabled erkennt nicht-konforme VPCs, und die automatische Korrektur über ein Systems Manager Automation-Runbook aktiviert die Flow Logs. Ein Organisations-Aggregator im delegierten Administrator bietet eine zentrale Compliance-Ansicht über alle Konten und Regionen. Die Option mit Security Hub ist unzureichend, da Security Hub zwar Compliance-Ergebnisse anzeigt, aber keine direkte automatische Korrektur über eine Regel für VPC Flow Logs bietet. CloudWatch Logs-Abonnementfilter und Lambda sind eine komplexe und weniger skalierbare Lösung für die organisationsweite Erkennung und Behebung. CloudFormation StackSets können Flow Logs bereitstellen, erkennen aber nicht automatisch Abweichungen nach der anfänglichen Bereitstellung und bieten keine integrierte Compliance-Ansicht wie AWS Config.