Sie müssen die serverseitige Verschlüsselung für alle EBS-Volumes und SQS-Warteschlangen erzwingen, die von CloudFormation-Stacks in allen Konten innerhalb einer bestimmten OU erstellt oder aktualisiert werden, und die Erzwingung muss vor den CloudFormation-Stack-Operationen erfolgen. Welche Lösung erzwingt dies über die OU hinweg?

Die korrekte Lösung ist, CloudFormation Hooks zu verwenden, die vor der Bereitstellung von Ressourcen ausgeführt werden können. Durch die Aktivierung des vertrauenswürdigen Zugriffs für StackSets können Sie einen Hook zentral in der Verwaltungskonto-OU bereitstellen und ihn auf alle Zielkonten anwenden. Dieser Hook kann dann die serverseitige Verschlüsselung für EBS-Volumes und SQS-Warteschlangen erzwingen, bevor die CloudFormation-Stack-Operationen abgeschlossen werden. AWS Config und Systems Manager würden die Überprüfung nach der Bereitstellung durchführen, was nicht die Anforderung "vor den CloudFormation-Stack-Operationen" erfüllt. Eine SCP könnte die Erstellung nicht verschlüsselter Ressourcen verhindern, aber sie würde nicht die spezifische Anforderung erfüllen, die Verschlüsselung zu erzwingen, bevor der Stack bereitgestellt wird, und könnte zu Fehlern führen, anstatt die Verschlüsselung automatisch anzuwenden. Eine Lambda-Funktion würde ebenfalls nach der Bereitstellung prüfen und erfordert eine komplexere Kontoverwaltung.