Pour appliquer une politique de marquage, un administrateur a besoin que toute instance EC2 dépourvue d'une balise de département soit arrêtée presque immédiatement après sa création. Quelle implémentation détectera les instances non conformes et les arrêtera en temps quasi réel ?

La bonne réponse est de créer une règle AWS Config avec la règle gérée required-tags et de configurer une remédiation automatique. AWS Config évalue en continu la conformité des ressources par rapport aux règles définies. La règle required-tags identifie les instances EC2 sans la balise de département requise. La remédiation automatique, déclenchée par la non-conformité, peut exécuter le document d'automatisation Systems Manager AWS-TerminateEC2Instance pour arrêter immédiatement les instances non conformes, assurant une application quasi en temps réel de la politique. Les autres options sont moins efficaces : Une règle EventBridge vers SNS informerait d'une non-conformité mais ne l'arrêterait pas automatiquement. Exiger des permissions ec2:CreateTags et ec2:DescribeTags ne garantit pas que les balises seront appliquées et ne gère pas l'arrêt automatique. AWS Systems Manager Compliance est pour la gestion de la conformité des patchs ou des configurations, pas pour l'arrêt automatique basé sur des balises manquantes au moment de la création.