Una empresa necesita una solución para administrar las reglas de AWS WAF en varias cuentas de AWS organizadas en diferentes UO. Los administradores deben poder agregar o eliminar cuentas o UO de los conjuntos de reglas de WAF administrados y actualizar/remediar automáticamente las reglas de WAF no conformes en todas las cuentas con una sobrecarga operativa mínima. ¿Qué solución cumple con estos requisitos?

La opción correcta utiliza AWS Firewall Manager, que está diseñado específicamente para administrar políticas de seguridad centralizadas, incluidas las reglas de AWS WAF, en varias cuentas y UO de una organización. Almacenar los números de cuenta y las UO en AWS Systems Manager Parameter Store y usar EventBridge con Lambda para actualizar la política de Firewall Manager permite una gestión dinámica y automatizada de los cambios en la estructura de la organización y las reglas de WAF, minimizando la sobrecarga operativa. La opción de AWS Config y CloudFormation StackSets es para la conformidad y el despliegue de recursos, no para la gestión centralizada y dinámica de reglas de WAF en toda la organización con remediación automática. La opción de variables de entorno de Lambda es menos escalable y más compleja de mantener para una organización grande. La opción de AWS Control Tower no es la herramienta principal para la gestión centralizada de reglas de WAF; su enfoque es la gobernanza y el aprovisionamiento de cuentas. Además, usar KMS para almacenar números de cuenta y UO no es su propósito principal, y el uso de claves de acceso con usuarios de IAM en cuentas miembro es una práctica de seguridad deficiente.