Una empresa utiliza AWS Organizations y quiere implementar patrones de diseño estándar (EC2, ELB, Amazon RDS y Amazon EKS o Amazon ECS) en todos los entornos con AWS CloudFormation StackSets. Los desarrolladores actualmente construyen sus propias pilas de CloudFormation a través de una canalización de CI/CD centralizada en una cuenta de servicios compartidos. El equipo de seguridad ha definido los requisitos de configuración y debe ser notificado de cualquier recurso no conforme sin ralentizar la entrega del desarrollador. ¿Cuál es la solución más eficiente operativamente?

La opción correcta es la más eficiente operativamente porque integra la validación de seguridad directamente en la fase temprana del ciclo de CI/CD. CloudFormation Guard permite definir reglas personalizadas para los requisitos de configuración de seguridad, y ejecutarlo antes de la compilación detecta infracciones de forma proactiva. El uso de un tema de Amazon SNS asegura que el equipo de seguridad reciba notificaciones inmediatas sobre cualquier recurso no conforme, sin ralentizar la entrega del desarrollador, ya que la validación ocurre antes de cualquier despliegue. Las otras opciones son menos eficientes: La validación de plantillas de CloudFormation solo verifica la sintaxis, no el cumplimiento de las políticas de seguridad. Usar un bucket de S3 con notificaciones a SQS y un grupo de Auto Scaling introduce complejidad y latencia innecesarias para la validación. Crear un conjunto de pilas de CloudFormation centralizado y requerir revisión manual del equipo de seguridad ralentiza significativamente el proceso de desarrollo y no escala bien.