Sie betreiben Hunderte von EC2-Instances in einer einzigen Region innerhalb eines AWS-Kontos. Neue Instances werden stündlich gestartet und beendet; einige bestehende Instances laufen seit mehr als einer Woche. Die Unternehmensrichtlinie schreibt vor, dass jede laufende EC2-Instance ein Instance Profile angehängt haben muss. Es gibt ein Standard-Instance Profile, das an jede Instance angehängt werden muss, der ein Profil fehlt. Welcher Ansatz setzt diese Anforderung durch?

Die korrekte Antwort ist die Aktivierung von AWS Config mit der verwalteten Regel ec2-instance-profile-attached und die Konfiguration der automatischen Behebung über ein Systems Manager Automation-Runbook. AWS Config überwacht kontinuierlich die Konformität von Ressourcen, und diese spezifische Regel wurde entwickelt, um zu überprüfen, ob EC2-Instances ein Instance Profile haben. Die automatische Behebung stellt sicher, dass fehlende Profile umgehend angehängt werden, was sowohl für neu gestartete als auch für bestehende, nicht konforme Instances gilt. Die anderen Optionen sind weniger geeignet: EventBridge-Regeln, die auf RunInstances oder StartInstances reagieren, würden nur bei neuen Starts greifen und bestehende, nicht konforme Instances übersehen. Die Regel iam-role-managed-policy-check ist für die Überprüfung von IAM-Rollen-Richtlinien gedacht, nicht für das Anfügen von Instance Profiles an EC2-Instances.