Una plantilla de CloudFormation despliega VPC y grupos de seguridad de EC2. Un gerente descubre que algunos ingenieros cambiaron la configuración de los grupos de seguridad en algunas instancias EC2 para realizar pruebas. Un desarrollador debe determinar qué cambios se realizaron. ¿Qué método identificará las modificaciones?

La detección de drift de CloudFormation es la herramienta adecuada para este escenario porque compara el estado actual de los recursos de su stack con la plantilla de CloudFormation que se utilizó para crearlos. Si se han realizado cambios manuales en los grupos de seguridad de EC2 fuera de CloudFormation, la detección de drift los identificará como desviaciones. Agregar una sección Conditions a la plantilla YAML no ayudará a detectar cambios existentes; Conditions se utiliza para controlar la creación de recursos en función de parámetros de entrada. Ejecutar un change set de CloudFormation muestra los cambios propuestos que se aplicarán a un stack, no los cambios que ya se han realizado manualmente. Amazon Detective es un servicio de seguridad que ayuda a analizar, investigar e identificar la causa raíz de posibles problemas de seguridad o hallazgos sospechosos, pero no está diseñado para detectar desviaciones de la configuración de CloudFormation.