L'entreprise applique une règle selon laquelle aucun groupe de sécurité ne doit autoriser SSH depuis 0.0.0.0/0. Un administrateur SysOps doit implémenter une solution qui alerte l'équipe des opérations lorsqu'un groupe de sécurité enfreint cette règle et doit automatiquement corriger la règle incriminée. Quelle conception satisfait ces deux exigences ?

L'option correcte utilise AWS Config, qui est conçue pour évaluer la conformité des ressources. La règle gérée restricted-ssh détecte spécifiquement les groupes de sécurité autorisant SSH depuis 0.0.0.0/0. L'attachement d'une correction automatique via Systems Manager Automation (AWS-DisablePublicAccessForSecurityGroup) permet de corriger la règle non conforme sans intervention manuelle. Enfin, une règle EventBridge peut être configurée pour notifier l'équipe SysOps lorsque la règle Config signale une non-conformité, répondant ainsi aux deux exigences (alerte et correction automatique). Les autres options sont moins efficaces ou plus complexes : La première option implique de créer une fonction Lambda complexe pour valider et corriger, ce qui est redondant car AWS Config offre déjà cette fonctionnalité. La deuxième option utilise CloudTrail et CloudWatch pour détecter les changements, mais la correction via Lambda serait moins intégrée et plus coûteuse à maintenir que la correction automatique d'AWS Config. La quatrième option utilise également CloudTrail et CloudWatch, mais l'intégration directe de Systems Manager Automation avec une alarme CloudWatch pour la correction n'est pas aussi nativement supportée pour la conformité des groupes de sécurité qu'AWS Config.