Un seul compte AWS dans une Région exécute des centaines d'instances EC2 qui sont fréquemment lancées et arrêtées. La politique de sécurité exige que chaque instance EC2 en cours d'exécution ait un profil d'instance ; si aucun n'est attaché, un profil par défaut sans permissions IAM doit être appliqué. L'ingénieur a trouvé des instances existantes sans profil d'instance et des lancements en cours qui omettent également un profil. Qu'est-ce qui garantira que toutes les instances EC2 actuelles et futures de la Région ont un profil d'instance attaché ?

L'option correcte est d'activer la règle gérée AWS Config ec2-instance-profile-attached avec une remédiation automatique. Cette règle est spécifiquement conçue pour détecter les instances EC2 qui n'ont pas de profil d'instance attaché. La remédiation automatique, via un runbook Systems Manager Automation, peut alors attacher le profil par défaut aux instances non conformes, couvrant ainsi les instances existantes et futures. Les autres options sont moins efficaces ou incorrectes : Créer une règle EventBridge réagissant à RunInstances ou StartInstances et invoquant une fonction Lambda ou un runbook Systems Manager Automation pourrait manquer des instances existantes sans profil ou ne pas être aussi robuste que Config pour la détection continue de la conformité. La règle iam-role-managed-policy-check est incorrecte car elle vérifie les politiques gérées attachées aux rôles IAM, et non l'attachement d'un profil d'instance aux instances EC2.