Une entreprise utilise l'infrastructure en tant que code (IaC) avec des modèles AWS CloudFormation et un pipeline CI/CD existant pour déployer des ressources AWS. Après un audit de sécurité, l'entreprise souhaite appliquer la politique en tant que code pour empêcher le déploiement de ressources non conformes (par exemple, un volume Amazon EBS non chiffré). Quelle solution répondra à cette exigence ?

La bonne réponse est de créer des ensembles de règles avec AWS CloudFormation Guard et d'exécuter des validations de modèles en tant qu'étape dans le pipeline CI/CD. AWS CloudFormation Guard est un langage de politique open source qui permet de définir des règles pour valider la conformité des modèles CloudFormation avant le déploiement. L'intégrer comme étape dans le pipeline CI/CD permet d'intercepter les ressources non conformes (comme un volume EBS non chiffré) avant qu'elles ne soient provisionnées, garantissant ainsi la politique en tant que code. Les autres options sont moins efficaces pour cette exigence spécifique de prévention avant le déploiement : AWS Trusted Advisor fournit des recommandations après le déploiement ou pour des configurations existantes, mais ne bloque pas proactivement les déploiements non conformes. AWS Config évalue la conformité des ressources après leur déploiement ou leur modification, et non avant. Bien qu'il puisse alerter, il ne prévient pas le déploiement initial. Les politiques de contrôle de service (SCP) sont utilisées pour définir les autorisations maximales pour les comptes au sein d'une organisation AWS, mais elles ne valident pas directement la conformité des modèles CloudFormation au niveau du pipeline CI/CD pour bloquer des ressources spécifiques avant leur création.