Un architecte de solutions doit implémenter un contrôle de conformité automatisé qui interdit les règles de groupe de sécurité autorisant SSH depuis 0.0.0.0/0. L'entreprise doit être informée en cas de non-respect de la politique et a besoin d'une solution dès que possible avec le moins de frais opérationnels. Que doit faire l'architecte de solutions ?

La règle gérée AWS Config restricted-ssh est conçue spécifiquement pour détecter les groupes de sécurité autorisant l'accès SSH (port 22) depuis 0.0.0.0/0. L'activation de cette règle, combinée à une notification Amazon SNS, fournit une solution automatisée, rapide à déployer et avec un minimum de frais opérationnels pour alerter l'entreprise en cas de non-conformité. Écrire un script Lambda est possible, mais cela implique plus de développement et de maintenance opérationnelle que d'utiliser une règle gérée existante. Créer un rôle IAM pour les groupes de sécurité n'empêche pas la création de règles non conformes et ne répond pas directement à l'exigence de surveillance. Configurer une SCP peut restreindre les permissions, mais ne détecte pas et ne notifie pas les règles non conformes déjà existantes ou créées par des utilisateurs autorisés.