Un modèle CloudFormation déploie un VPC et des groupes de sécurité EC2. Un responsable découvre que des ingénieurs ont modifié les paramètres des groupes de sécurité sur quelques instances EC2 pour des tests. Un développeur doit déterminer quelles modifications ont été apportées. Quelle méthode permettra d'identifier les modifications ?

La détection de dérive CloudFormation est la méthode la plus directe et efficace pour identifier les modifications apportées aux ressources gérées par CloudFormation, telles que les groupes de sécurité. Elle compare l'état actuel des ressources déployées avec l'état défini dans le modèle CloudFormation. Si des différences sont détectées, elle les signale comme une "dérive". Les autres options sont incorrectes car : L'ajout d'une section Conditions au modèle YAML n'a aucun impact sur la détection des modifications existantes. Les conditions contrôlent la création de ressources, pas leur état après déploiement. L'exécution d'un ensemble de modifications (Change Set) CloudFormation montre les changements proposés à apporter à la pile, pas les modifications déjà effectuées en dehors de CloudFormation. Amazon Detective est un service de sécurité qui aide à analyser et à enquêter sur les causes profondes des problèmes de sécurité. Il n'est pas conçu pour détecter la dérive de configuration des ressources CloudFormation.