Une entreprise exige que les équipes internes provisionnent des ressources uniquement via des modèles CloudFormation approuvés, et l'équipe de sécurité a besoin d'une détection automatisée lorsque les ressources s'écartent de leur état attendu. Quelle stratégie satisfait les deux exigences avec une application appropriée et une surveillance automatisée ?

La bonne réponse est d'exiger que les utilisateurs provisionnent des ressources uniquement via AWS Service Catalog, d'appliquer une contrainte de lancement pour les produits et d'utiliser les règles AWS Config pour détecter la dérive par rapport aux configurations attendues. AWS Service Catalog permet de centraliser et de gérer les produits CloudFormation approuvés, garantissant que seules les ressources conformes sont provisionnées. Les contraintes de lancement appliquent des configurations spécifiques lors du déploiement. AWS Config est idéal pour la détection de dérive, car il évalue en continu la conformité des ressources par rapport aux configurations souhaitées. Les autres options sont incorrectes car : L'utilisation de rôles de service CloudFormation n'empêche pas le déploiement de modèles non approuvés et la détection de dérive CloudFormation ne couvre pas toutes les modifications de configuration non conformes. L'option avec les rôles de service CloudFormation et AWS Config ne garantit pas que seules les ressources approuvées sont provisionnées initialement. L'option avec AWS Service Catalog et les notifications EventBridge ne spécifie pas de mécanisme pour détecter la dérive de configuration de manière continue et automatisée comme le font les règles AWS Config.