Um eine Tagging-Richtlinie durchzusetzen, muss ein Administrator jede EC2-Instance, der ein Abteilungs-Tag fehlt, fast unmittelbar nach der Erstellung beenden. Welche Implementierung erkennt nicht-konforme Instances und beendet sie nahezu in Echtzeit?

Die AWS Config-Regel „required-tags“ kann nicht-konforme EC2-Instances erkennen, denen ein erforderlicher Tag fehlt. Durch die Konfiguration der automatischen Behebung mit dem Systems Manager-Automatisierungsdokument AWS-TerminateEC2Instance können diese Instances fast sofort nach der Erkennung beendet werden, was die Anforderung der Frage erfüllt. Eine EventBridge-Regel könnte zwar die Erstellung von Instances erkennen, müsste aber eine zusätzliche Logik (z. B. eine Lambda-Funktion) implementieren, um Tags zu prüfen und die Instance zu beenden, was komplexer ist als die integrierte Lösung von Config. Die Anforderung von ec2:CreateTags und ec2:DescribeTags stellt keine Durchsetzung sicher, da Benutzer die Tags immer noch weglassen könnten. Das Setzen des Shutdown-Verhaltens auf "terminate" ist irrelevant für die Durchsetzung von Tagging-Richtlinien. Systems Manager Compliance kann zwar Nicht-Konformität melden, aber AWS-StopEC2Instances beendet die Instances nicht, sondern stoppt sie nur, was die Anforderung nicht erfüllt.