Come si può impedire agli sviluppatori di associare un Elastic IP alle istanze EC2 di produzione e garantire che il team di sicurezza venga avvisato se un'istanza di produzione ha un Elastic IP in qualsiasi momento?

L'opzione corretta risolve entrambi i requisiti. Allegare una policy IAM che nega ec2:AssociateAddress al gruppo degli sviluppatori impedisce loro di associare Elastic IP. Una regola AWS Config personalizzata è ideale per il monitoraggio continuo e la notifica. Questa regola può essere configurata per rilevare le istanze di produzione con Elastic IP e attivare un avviso per il team di sicurezza, garantendo che non ci siano Elastic IP associati alle ist istanze di produzione. Le opzioni errate presentano delle lacune: L'interrogazione di CloudTrail con Athena è reattiva e non proattiva, non impedisce l'associazione iniziale. La verifica dei permessi IAM è un buon inizio, ma una funzione Lambda pianificata è meno efficiente e reattiva di AWS Config per il monitoraggio continuo. I ruoli IAM delle istanze EC2 non impediscono agli utenti di associare Elastic IP; i permessi IAM degli utenti sono ciò che conta.