El equipo de DevOps de una empresa administra varias cuentas de AWS dentro de una organización de AWS Organizations. Necesitan asegurarse de que cada instancia de Amazon EC2 utilice solo AMIs que el equipo de DevOps apruebe y remediar automáticamente cualquier instancia lanzada desde AMIs no aprobadas. Los administradores de cuentas individuales no deben poder eliminar esta restricción. ¿Qué solución cumple con estos requisitos?

La opción correcta es habilitar AWS Config en toda la organización y usar un paquete de conformidad. Esto permite aplicar la regla administrada approved-amis-by-id a todas las cuentas de la organización de forma centralizada y obligatoria, impidiendo que los administradores de cuentas individuales la eliminen. La configuración para ejecutar el runbook de Systems Manager AWS-StopEC2Instance asegura la remediación automática. Las otras opciones son menos efectivas: Usar EventBridge y SNS solo notifica, no remedia automáticamente ni aplica una restricción inmutable a nivel de organización. Implementar reglas de AWS Config con StackSets es una buena opción para la gestión de múltiples cuentas, pero un paquete de conformidad de AWS Config a nivel de organización es más robusto para imponer la restricción y evitar su eliminación por administradores de cuentas individuales. Una función de Lambda personalizada con CloudTrail y SNS solo notifica y no ofrece la remediación automática ni la imposición a nivel de organización que requiere el problema.