Une entreprise gère plusieurs comptes AWS avec AWS Organizations. Un compte central publie des Amazon Machine Images (AMI) de base pour Amazon EC2. L'entreprise utilise AWS Systems Manager pour l'inventaire des logiciels et l'application de correctifs. Un ingénieur de sécurité a besoin d'une solution à l'échelle de l'organisation qui détecte les instances EC2 auxquelles il manque un package logiciel d'entreprise requis et installe automatiquement le logiciel lorsqu'il est absent. Quelle approche répond à ces exigences ?

L'approche correcte utilise AWS Config pour la détection et EventBridge/Lambda/Systems Manager Run Command pour la correction automatique. La règle gérée ec2-managedinstance-applications-required d'AWS Config est conçue spécifiquement pour détecter les instances EC2 qui ne contiennent pas les applications spécifiées. Lorsqu'une non-conformité est détectée, EventBridge peut déclencher une fonction Lambda. Cette fonction Lambda peut ensuite utiliser Systems Manager Run Command pour installer le logiciel manquant sur l'instance non conforme, offrant une solution automatisée et à l'échelle de l'organisation. Les autres options sont moins efficaces ou ne répondent pas entièrement aux exigences : Publier de nouvelles AMI avec le logiciel préinstallé et utiliser des SCP ne gère pas les instances existantes et nécessite une gestion continue des AMI. Créer une base de référence de correctifs personnalisée dans Patch Manager est pour les correctifs de sécurité, pas pour l'installation d'applications d'entreprise manquantes. Créer un package Systems Manager Distributor et utiliser Run Command est une approche manuelle ou semi-automatisée pour l'installation, mais elle ne fournit pas la détection continue et la correction automatique des logiciels manquants comme le fait AWS Config.