È necessario applicare la crittografia lato server per tutti i volumi EBS e le code SQS creati o aggiornati dagli stack CloudFormation in tutti gli account all'interno di una specifica OU, e l'applicazione deve avvenire prima delle operazioni dello stack CloudFormation. Quale soluzione applicherà questo in tutta l'OU?

La soluzione corretta sfrutta i CloudFormation Hooks, che consentono di eseguire logica personalizzata prima o dopo la creazione, l'aggiornamento o l'eliminazione delle risorse CloudFormation. Creando un Hook che applica la crittografia lato server per i volumi EBS e le code SQS e distribuendolo tramite CloudFormation StackSets a livello di OU, si garantisce che la crittografia sia applicata in modo proattivo e centralizzato a tutte le risorse gestite da CloudFormation, prima che lo stack venga elaborato. Le altre opzioni sono meno efficaci o non soddisfano il requisito "prima delle operazioni dello stack CloudFormation": AWS Config e Systems Manager possono verificare la conformità, ma agiscono reattivamente, non proattivamente prima della creazione. Le SCP possono impedire la creazione di risorse non conformi, ma non applicano attivamente la crittografia. Una Lambda nell'account amministratore delegato sarebbe una soluzione reattiva e richiederebbe una logica complessa per l'applicazione della crittografia, non garantendo l'applicazione "prima" della creazione.