Une fonction Lambda démarre une détection de dérive CloudFormation sur une pile, puis se termine. Une règle planifiée EventBridge exécute cette fonction Lambda toutes les heures. Un sujet SNS existe et l'ingénieur y est abonné. L'ingénieur souhaite être averti dès que possible lorsqu'une dérive est détectée pour cette pile. Quelle solution répond à cette exigence ?

La solution correcte est d'activer AWS Config avec la règle gérée cloudformation-stack-drift-detection-check. Cette règle évalue en permanence la dérive des piles CloudFormation. Lorsqu'une dérive est détectée, AWS Config génère un événement de changement de conformité. Une règle EventBridge peut alors être configurée pour réagir à cet événement spécifique pour la pile concernée et publier une notification sur le sujet SNS. Cette approche est proactive et ne dépend pas de l'exécution manuelle d'une fonction Lambda pour vérifier la dérive après son démarrage. Les autres options sont moins efficaces ou incorrectes : Cibler directement le sujet SNS avec la règle EventBridge existante ne fonctionnera pas car la fonction Lambda ne publie pas d'événements de dérive sur SNS. Créer une seconde fonction Lambda pour interroger CloudFormation est une solution plus complexe et moins réactive que l'utilisation d'AWS Config, qui est conçue pour la surveillance continue de la conformité. Amazon GuardDuty est un service de détection des menaces et n'est pas utilisé pour la détection de dérive CloudFormation.