L'équipe DevOps d'une entreprise gère plusieurs comptes AWS au sein d'une organisation AWS Organizations. Elle doit s'assurer que chaque instance Amazon EC2 utilise uniquement des AMI approuvées par l'équipe DevOps et corriger automatiquement toute instance lancée à partir d'AMI non approuvées. Les administrateurs de compte individuels ne doivent pas être en mesure de supprimer cette restriction. Quelle solution répond à ces exigences ?

La solution correcte est d'activer AWS Config à l'échelle de l'organisation et d'utiliser un pack de conformité. AWS Config permet de surveiller et d'évaluer les configurations des ressources AWS. En l'activant au niveau de l'organisation, vous assurez une application centralisée et immuable des règles à travers tous les comptes membres, empêchant les administrateurs individuels de contourner la restriction. La règle gérée approved-amis-by-id est spécifiquement conçue pour vérifier les AMI. L'intégration avec AWS Systems Manager Automation via le runbook AWS-StopEC2Instance permet une correction automatique des instances non conformes. Les autres options sont moins efficaces ou ne répondent pas à toutes les exigences : L'utilisation d'Amazon EventBridge et CloudTrail avec SNS ne permet qu'une notification, pas une correction automatique, et ne garantit pas l'immuabilité de la restriction. Le déploiement de règles AWS Config via StackSets est une option viable pour la conformité, mais un pack de conformité au niveau de l'organisation est plus robuste pour l'application centralisée et la prévention du contournement. Une fonction Lambda traitant les événements CloudTrail peut notifier, mais nécessiterait une logique complexe pour la correction automatique et ne garantirait pas l'immuabilité au niveau de l'organisation.