Una única cuenta de AWS en una Región ejecuta cientos de instancias EC2 que se inician y terminan con frecuencia. La política de seguridad requiere que cada instancia EC2 en ejecución tenga un perfil de instancia; si no se adjunta ninguno, se debe aplicar un perfil predeterminado sin permisos de IAM. El ingeniero encontró instancias existentes sin un perfil de instancia y lanzamientos en curso que también omiten un perfil. ¿Qué asegurará que todas las instancias EC2 actuales y futuras en la Región tengan un perfil de instancia adjunto?

La opción correcta es habilitar la regla administrada de AWS Config ec2-instance-profile-attached con remediación automática. Esta regla monitorea si las instancias EC2 tienen un perfil de instancia adjunto. Al configurarla con remediación automática, puede ejecutar un runbook de Systems Manager Automation para adjuntar el perfil predeterminado a las instancias que no lo tienen, tanto las existentes como las nuevas. Las opciones incorrectas son: Crear una regla de EventBridge que reaccione a RunInstances o StartInstances e invoque una función Lambda o un runbook. Esto solo abordaría las nuevas instancias, no las existentes que ya están en ejecución sin un perfil. Además, StartInstances no es el evento correcto para la creación inicial de la instancia. Habilitar la regla administrada iam-role-managed-policy-check. Esta regla verifica las políticas administradas adjuntas a los roles de IAM, no si las instancias EC2 tienen un perfil de instancia adjunto.