Una auditoría de seguridad encontró varios volúmenes de Amazon EBS sin cifrar adjuntos a miles de instancias EC2 en una cuenta de la empresa. La política de la empresa exige el cifrado de los volúmenes de EBS. La empresa necesita una solución automatizada para cifrar los volúmenes existentes sin cifrar y para evitar que los equipos de desarrollo creen volúmenes sin cifrar. ¿Qué solución cumple con estos requisitos?

La opción correcta aborda ambos requisitos: la remediación de volúmenes existentes y la prevención de futuros volúmenes sin cifrar. AWS Config con una regla administrada puede detectar volúmenes sin cifrar y activar una acción de remediación automática (un runbook de Systems Manager) para crear y adjuntar un volumen cifrado, reemplazando el original. Para la prevención, modificar la configuración de la cuenta de AWS para el cifrado de EBS asegura que todos los nuevos volúmenes creados en la cuenta estén cifrados por defecto, impidiendo que los desarrolladores creen volúmenes sin cifrar. Las opciones incorrectas fallan en uno o ambos aspectos. La primera opción sugiere una política de clave KMS para denegar la creación de volúmenes sin cifrar, lo cual no es el mecanismo adecuado para este control. La segunda y tercera opciones proponen usar Fleet Manager para listar volúmenes, lo cual es menos automatizado que AWS Config para la detección continua y la remediación. Además, la segunda opción usa una SCP, que es efectiva para la prevención a nivel de organización, pero la pregunta se centra en una cuenta específica y la configuración de la cuenta de EBS es más directa para este caso.