Una empresa utiliza AWS Organizations y ha implementado una landing zone con AWS Control Tower. La empresa necesita gobernanza para que se detecten las instancias de base de datos de Amazon RDS que no están cifradas en reposo en la OU de producción. ¿Qué solución satisface este requisito?

La respuesta correcta es habilitar la barandilla apropiada de la lista de barandillas fuertemente recomendadas de AWS Control Tower y aplicarla a la OU de producción. AWS Control Tower incluye un conjunto de barandillas predefinidas, incluidas las que detectan recursos no cifrados. La barandilla "Detectar instancias de Amazon RDS que no están cifradas en reposo" es una barandilla fuertemente recomendada que cumple este requisito. Las barandillas obligatorias (obligatory guardrails) son preventivas y bloquean acciones, no detectan recursos existentes. Crear una barandilla obligatoria con AWS Config no es el enfoque estándar para este tipo de detección en Control Tower. Las políticas de control de servicios (SCP) son preventivas y no detectan el estado de los recursos existentes, como el cifrado de una base de datos.