Gli sviluppatori devono avviare istanze EC2 solo da un set approvato di AMI, ma alcuni stanno ancora avviando istanze da immagini non approvate. Il team operativo ha bisogno di un modo automatizzato per rilevare e terminare qualsiasi istanza EC2 avviata da un'AMI non presente nell'elenco approvato. Quale approccio soddisfa questo requisito?

L'approccio corretto sfrutta AWS Config per monitorare la conformità delle istanze EC2. Una regola gestita di AWS Config può essere configurata per valutare se le AMI delle istanze in esecuzione rientrano in un elenco approvato. La funzionalità di correzione automatica di AWS Config, integrata con AWS Systems Manager Automation, permette di definire un runbook che termina automaticamente le istanze non conformi. Questo fornisce una soluzione proattiva e automatizzata per far rispettare la policy. Le altre opzioni sono meno efficaci o non adatte: L'uso di DynamoDB e modelli di avvio EC2 non consente la terminazione automatica delle istanze già in esecuzione da AMI non approvate. Le metriche di CloudWatch non tracciano direttamente la conformità delle AMI in modo da poter attivare la terminazione automatica in questo contesto. Amazon Inspector è uno strumento di valutazione della vulnerabilità e non è progettato per far rispettare le policy di conformità delle AMI in tempo reale con correzione automatica.