Sie benötigen einen automatisierten, unternehmensweiten Prozess, um kompromittierte Amazon EC2-Instances zu isolieren, wenn diese ein bestimmtes Tag erhalten. Welche Kombination von Schritten implementiert dies kontoübergreifend? (Wählen Sie zwei.)

Die korrekten Antworten implementieren eine automatisierte Isolationslösung. CloudFormation StackSets ermöglichen die kontoübergreifende Bereitstellung der benötigten Ressourcen, wie z.B. eine Lambda-Funktion und eine restriktive Sicherheitsgruppe. Die Lambda-Funktion wird durch eine EventBridge-Regel ausgelöst, wenn der Isolations-Tag auf eine EC2-Instanz angewendet wird. Sie ersetzt dann die bestehenden Sicherheitsgruppen der Instanz durch eine restriktive Gruppe ohne eingehende oder ausgehende Regeln und entfernt die IAM-Rolle, um die Kommunikation zu unterbinden. Eine SCP ist für die Isolation nach dem Tagging nicht geeignet, da sie den Zugriff auf EC2-Aktionen verweigert, aber nicht die Netzwerkkonnektivität oder IAM-Rollen einer bereits laufenden Instanz ändert. Die Option mit der Netzwerk-ACL ist weniger präzise und die Erstellung einer neuen Rolle ist nicht notwendig, da die bestehende Rolle entfernt werden kann.