Agli sviluppatori è vietato avviare infrastrutture di rete VPC. Ogni volta che viene creato un NAT gateway, il team di sicurezza della rete deve essere immediatamente avvisato per terminarlo. La soluzione dovrebbe essere facile da implementare su più account AWS, avere un overhead amministrativo minimo e fornire una cronologia di conformità accessibile. Quale soluzione soddisfa questi requisiti?

La soluzione con AWS Config e AWS Systems Manager Automation soddisfa meglio i requisiti. AWS Config può monitorare continuamente le risorse per la conformità, inclusa la presenza di NAT gateway, e attivare automaticamente azioni di remediation tramite Systems Manager Automation. Questo fornisce una cronologia di conformità accessibile e riduce l'overhead amministrativo. La distribuzione tramite AWS CloudFormation StackSets consente un'implementazione facile e coerente su più account AWS. Le altre opzioni sono meno efficienti o complete: Lo script su EC2 richiede la gestione delle istanze e un database RDS separato, aumentando l'overhead. La funzione Lambda con SAM è fattibile ma l'archiviazione su OpenSearch Service in ogni account è complessa e costosa per una semplice cronologia di conformità. GuardDuty non rileva direttamente la creazione di NAT gateway come tipo di rilevamento specifico per la conformità, ma si concentra su attività dannose o non autorizzate.