Les développeurs ne doivent lancer des instances EC2 qu'à partir d'un ensemble d'AMI approuvées, mais certains continuent de lancer des instances à partir d'images non approuvées. L'équipe des opérations a besoin d'un moyen automatisé pour détecter et arrêter toute instance EC2 lancée à partir d'une AMI qui ne figure pas sur la liste approuvée. Quelle approche répond à cette exigence ?

La création d'une règle gérée AWS Config est la solution la plus efficace car elle permet de surveiller en continu la conformité des instances EC2 par rapport à une liste d'AMI approuvées. La correction automatique via un runbook AWS Systems Manager Automation est idéale pour arrêter les instances non conformes de manière proactive. Les autres options sont moins adaptées : Stocker les AMI dans DynamoDB et utiliser des modèles de lancement ne permettrait pas de détecter et d'arrêter les instances déjà lancées ou celles lancées en dehors des modèles. Les métriques CloudWatch ne fournissent pas nativement les informations détaillées sur les AMI de lancement pour déclencher une alarme spécifique. Amazon Inspector est conçu pour l'évaluation des vulnérabilités et la gestion des configurations de sécurité, pas pour la surveillance continue de la conformité des AMI de lancement de cette manière.