Une organisation utilise AWS Organizations pour gérer plusieurs comptes. La politique de sécurité exige que tout volume Amazon EBS non chiffré soit marqué comme non conforme. Un ingénieur DevOps doit déployer un contrôle de conformité automatisé et permanent. Quelle approche permet d'y parvenir ?

La création d'une règle organisationnelle AWS Config permet de vérifier la conformité des volumes EBS non chiffrés dans tous les comptes AWS de l'organisation de manière centralisée et continue. L'application d'une politique de contrôle de service (SCP) pour empêcher la désactivation ou la suppression d'AWS Config garantit la persistance de ce contrôle de conformité. Les autres options sont moins efficaces ou ne répondent pas entièrement à l'exigence : L'utilisation d'AWS CloudFormation et AWS Inspector n'est pas la méthode standard pour la conformité continue des ressources à l'échelle de l'organisation. Inspector est plus axé sur l'évaluation des vulnérabilités. Une SCP peut empêcher la création de ressources non conformes, mais ne détecte pas les ressources existantes non conformes et ne fournit pas de rapport de conformité. Un pipeline CodePipeline avec Lambda peut lister les volumes, mais cela représente une solution personnalisée plus complexe et moins intégrée qu'AWS Config pour la gestion de la conformité.