Un audit de sécurité a révélé plusieurs volumes Amazon EBS non chiffrés attachés à des milliers d'instances EC2 dans un compte d'entreprise. La politique de l'entreprise exige le chiffrement des volumes EBS. L'entreprise a besoin d'une solution de remédiation automatisée pour chiffrer les volumes existants non chiffrés et pour empêcher les équipes de développement de créer des volumes non chiffrés. Quelle solution répond à ces exigences ?

La bonne solution répond aux deux exigences : chiffrer les volumes existants non chiffrés et empêcher la création de nouveaux volumes non chiffrés. AWS Config avec une règle gérée peut détecter les volumes non chiffrés et déclencher une action de remédiation Systems Manager Automation. Ce runbook peut créer un nouveau volume chiffré à partir d'un instantané du volume non chiffré, puis le remplacer. Pour empêcher la création future de volumes non chiffrés, la modification du paramètre de compte AWS pour le chiffrement EBS est la méthode la plus directe et la plus efficace, car elle applique le chiffrement par défaut à tous les nouveaux volumes EBS créés dans ce compte. Les options incorrectes échouent pour les raisons suivantes : L'utilisation d'une politique de clé KMS pour refuser la création de volumes EBS non chiffrés n'est pas une fonctionnalité standard et ne fonctionnerait pas comme prévu. AWS Systems Manager Fleet Manager est destiné à la gestion des instances et non à la détection des volumes EBS non chiffrés. Une SCP peut empêcher la création de volumes non chiffrés, mais la modification du paramètre de compte EBS est plus granulaire et spécifique à la ressource.