Los desarrolladores solo deben lanzar instancias EC2 desde un conjunto aprobado de AMIs, pero algunos siguen iniciando instancias desde imágenes no aprobadas. El equipo de operaciones necesita una forma automatizada de detectar y terminar cualquier instancia EC2 lanzada desde una AMI que no esté en la lista aprobada. ¿Qué enfoque satisface este requisito?

La regla gestionada de AWS Config ec2-instances-launched-from-approved-amis está diseñada específicamente para este caso de uso. Puede verificar si las instancias EC2 se lanzaron desde AMIs aprobadas. La remediación automática de AWS Config, integrada con AWS Systems Manager Automation, permite ejecutar un runbook para terminar las instancias no conformes, automatizando el proceso. Las otras opciones son menos eficientes o no cumplen completamente el requisito: Almacenar AMIs en DynamoDB y usar plantillas de lanzamiento no aborda las instancias ya en ejecución o lanzadas fuera de las plantillas. Las métricas de CloudWatch no pueden inspeccionar directamente las AMIs de las instancias para la conformidad de esta manera. Amazon Inspector se centra en la seguridad y vulnerabilidades, no en la conformidad de lanzamiento de AMIs, y crear un hallazgo personalizado para esto sería un uso indebido y más complejo que Config.