Gestisci centinaia di istanze EC2 in una singola regione all'interno di un unico account AWS. Nuove istanze vengono avviate e terminate ogni ora; alcune istanze esistenti sono in esecuzione da più di una settimana. La policy aziendale impone che ogni istanza EC2 in esecuzione debba avere un profilo di istanza allegato. Esiste un profilo di istanza predefinito che deve essere allegato a qualsiasi istanza priva di un profilo. Quale approccio impone questo requisito?

L'opzione corretta sfrutta AWS Config con la regola gestita ec2-instance-profile-attached per identificare le istanze EC2 senza un profilo di istanza. La correzione automatica, tramite un runbook di AWS Systems Manager Automation, garantisce che il profilo predefinito venga allegato, coprendo sia le istanze nuove che quelle esistenti che potrebbero essere state avviate senza un profilo. Questo approccio è robusto perché AWS Config monitora continuamente la conformità rispetto alla policy. Le altre opzioni sono meno efficaci: Una regola EventBridge su RunInstances coprirebbe solo le nuove istanze, non quelle esistenti che potrebbero essere non conformi. Inoltre, RunInstances non è l'API per allegare un profilo. StartInstances non è l'API corretta per allegare un profilo di istanza. La regola iam-role-managed-policy-check verifica le policy gestite sui ruoli IAM, non l'allegato del profilo di istanza alle istanze EC2.