Une entreprise utilise AWS Organizations et souhaite déployer des modèles de conception standard (EC2, ELB, Amazon RDS, et Amazon EKS ou Amazon ECS) dans différents environnements à l'aide d'AWS CloudFormation StackSets. Les développeurs construisent actuellement leurs propres piles CloudFormation via un pipeline CI/CD centralisé dans un compte de services partagés. L'équipe de sécurité a défini des exigences de configuration et doit être informée de toute ressource non conforme sans ralentir la livraison des développeurs. Quelle est la solution la plus efficace sur le plan opérationnel ?

L'option correcte est la plus efficace car elle intègre la validation de la conformité tôt dans le pipeline CI/CD sans ralentir les développeurs. CloudFormation Guard permet de définir des règles de sécurité personnalisées et de les appliquer automatiquement aux modèles avant le déploiement. L'exécution de cfn-guard dans une image Docker assure un environnement cohérent et reproductible. La publication sur une rubrique SNS informe l'équipe de sécurité en temps réel des violations, répondant ainsi à l'exigence d'être informée des ressources non conformes. Les autres options sont moins efficaces : L'utilisation de aws cloudformation validate-template ne vérifie que la syntaxe du modèle, pas la conformité aux exigences de sécurité. L'option avec S3 et SQS introduit une complexité inutile et un délai potentiel en exécutant CloudFormation Guard via un groupe Auto Scaling après que les modèles sont ajoutés. L'option de modèles centralisés et de révision manuelle par l'équipe de sécurité ralentit considérablement le processus de livraison des développeurs, ce qui est contraire à l'exigence.