Vous avez besoin d'un processus automatisé à l'échelle de l'organisation pour isoler les instances Amazon EC2 compromises lorsqu'elles reçoivent une balise spécifique. Quelle combinaison d'étapes permettra de mettre cela en œuvre sur tous les comptes ? (Choisissez deux.)

Pour une solution automatisée à l'échelle de l'organisation, vous devez d'abord déployer l'infrastructure nécessaire dans tous les comptes. AWS CloudFormation StackSets est l'outil idéal pour déployer des piles CloudFormation de manière cohérente sur plusieurs comptes et régions au sein d'une organisation, garantissant ainsi que la logique d'isolation est présente partout. Ensuite, la logique d'isolation elle-même doit être définie. Un modèle CloudFormation peut créer un groupe de sécurité restrictif (sans règles entrantes/sortantes) et une fonction Lambda. Cette fonction Lambda, déclenchée par une règle EventBridge lors de l'application de la balise spécifique, remplacera les groupes de sécurité de l'instance compromise par ce groupe restrictif, isolant ainsi l'instance. Les SCP ne sont pas adaptés ici car ils gèrent les autorisations au niveau du compte/OU, pas les actions dynamiques basées sur les balises d'instance. La création d'un rôle d'instance sans politiques IAM n'est pas directement pertinente pour l'isolation réseau.