Une récente mise à jour de pile CloudFormation a échoué et un ingénieur DevOps a découvert que certaines ressources de la pile avaient été modifiées manuellement. L'ingénieur doit détecter les modifications manuelles apportées aux ressources gérées par CloudFormation et alerter le responsable DevOps avec un effort opérationnel minimal. Quelle solution répond à ce besoin ?

La solution correcte utilise la règle gérée AWS Config CLOUDFORMATIONSTACKDRIFTDETECTIONCHECK qui est spécifiquement conçue pour détecter les dérives (modifications manuelles) des ressources CloudFormation. En la combinant avec EventBridge pour déclencher une notification SNS lorsque l'état est NONCOMPLIANT, on obtient une alerte automatique et un effort opérationnel minimal. L'option "Balisez toutes les ressources..." est trop complexe et nécessite un développement personnalisé (RDKlib, Lambda) alors qu'une règle gérée existe. L'option "déclenchée sur l'état de ressource COMPLIANT" est incorrecte car elle notifierait les ressources conformes, et non les dérives. L'option "utilisez une fonction Lambda pour envoyer un e-mail" est moins efficace que SNS pour la gestion des abonnements et des notifications directes par e-mail.