Comment empêcher les développeurs d'attacher une adresse IP élastique à des instances EC2 de production et s'assurer que l'équipe de sécurité est alertée si une instance de production possède une adresse IP élastique à tout moment ?

La bonne réponse combine deux stratégies efficaces : la prévention et la détection/notification. Attacher une politique IAM qui refuse la permission ec2:AssociateAddress au groupe des développeurs empêche proactivement l'action non désirée. Cette approche est la plus directe pour bloquer l'attachement d'IP élastiques. Ensuite, une règle AWS Config personnalisée est idéale pour la détection continue. Elle peut évaluer les instances de production (identifiées par des tags) pour s'assurer qu'aucune IP élastique n'y est associée et alerter l'équipe de sécurité en cas de non-conformité. Les autres options sont moins complètes ou moins efficaces : Interroger CloudTrail avec Athena est une approche réactive et ne prévient pas l'action. La dissociation automatique par Lambda pourrait être risquée si l'IP était attachée légitimement. La planification d'une fonction Lambda pour vérifier périodiquement est une solution de détection valide, mais la règle AWS Config est plus intégrée et gérée pour l'évaluation de la conformité. Vérifier les rôles IAM des instances EC2 pour refuser associate-address n'est pas pertinent, car ce sont les développeurs (via leurs rôles IAM) qui effectuent cette action, pas l'instance elle-même.