L'entreprise souhaite une surveillance continue pour détecter quand un groupe de sécurité EC2 autorise le SSH depuis l'internet public et pour fermer automatiquement ce port lorsqu'il est détecté. Quelle combinaison d'actions l'administrateur SysOps doit-il mettre en œuvre ? (Choisissez deux.)

Pour détecter les groupes de sécurité autorisant le SSH depuis Internet, une règle AWS Config gérée est la solution la plus efficace. Elle évalue en continu la conformité des ressources AWS par rapport à des règles prédéfinies, comme restricted-ssh, qui signale précisément ce scénario. Une alarme CloudWatch pourrait détecter des métriques, mais ne serait pas le mécanisme principal pour identifier une configuration de groupe de sécurité non conforme. Amazon Inspector est un service d'évaluation de vulnérabilités pour les instances EC2, pas pour la configuration des groupes de sécurité. Pour la correction automatique, l'invocation d'un runbook AWS Systems Manager Automation est la méthode standard. Les runbooks permettent de définir des workflows d'actions pour automatiser des tâches opérationnelles, y compris la modification des règles de groupes de sécurité. AWS Systems Manager Run Command exécute des commandes sur des instances EC2, mais n'est pas conçu pour des workflows d'automatisation complexes ou pour être déclenché par des événements de non-conformité comme ceux détectés par AWS Config.