Una organización utiliza AWS Organizations para administrar varias cuentas. La política de seguridad requiere marcar como no conformes cualquier volumen de Amazon EBS sin cifrar. Un ingeniero de DevOps debe implementar una comprobación de conformidad automatizada y siempre presente. ¿Qué enfoque logra esto?

La opción correcta es crear una regla organizacional de AWS Config. AWS Config es el servicio diseñado para evaluar la conformidad de los recursos de AWS, y las reglas organizacionales permiten aplicar estas comprobaciones en todas las cuentas de una organización de forma centralizada. Prohibir la detención o eliminación de AWS Config mediante una SCP asegura que la supervisión de conformidad permanezca activa y no pueda ser desactivada por usuarios en las cuentas miembro. Las otras opciones son menos efectivas o no cumplen completamente el requisito: AWS CloudFormation y AWS Inspector no son la herramienta principal para la comprobación de conformidad continua de recursos existentes. Inspector se enfoca en seguridad de instancias, no en cifrado de EBS directamente. Una SCP puede prevenir la creación de recursos no conformes, pero no detecta recursos existentes que ya no cumplen o que se vuelven no conformes. Además, analizar CloudTrail con Athena es reactivo y no una comprobación "siempre presente" de conformidad del recurso en sí. Un pipeline con Lambda y un rol de IAM es un enfoque manual y reactivo para listar volúmenes, no una solución de auditoría de conformidad continua y automatizada como AWS Config.