Una empresa requiere que los equipos internos aprovisionen recursos solo a través de plantillas de CloudFormation aprobadas, y el equipo de seguridad necesita detección automatizada cuando los recursos se desvían de su estado esperado. ¿Qué estrategia satisface ambos requisitos con la aplicación adecuada y el monitoreo automatizado?

La estrategia correcta aborda ambos requisitos. AWS Service Catalog permite a los equipos internos aprovisionar recursos solo a través de plantillas aprobadas (productos), y una restricción de lanzamiento garantiza que las plantillas de CloudFormation subyacentes se implementen de forma consistente. AWS Config es la herramienta ideal para detectar desviaciones de los estados esperados de los recursos, ya que evalúa continuamente la conformidad de los recursos con las reglas definidas. Las opciones que mencionan el rol de servicio de CloudFormation no garantizan que los usuarios solo puedan usar plantillas aprobadas; solo controlan los permisos de implementación. La detección de drift de CloudFormation solo identifica cambios en los stacks de CloudFormation, no en recursos individuales que podrían haber sido modificados fuera de CloudFormation. La opción de EventBridge no es el mecanismo principal para detectar desviaciones de configuración de recursos; AWS Config está diseñado para ese propósito.