Il team DevOps di un'azienda gestisce più account AWS all'interno di un'organizzazione AWS Organizations. Devono garantire che ogni istanza Amazon EC2 utilizzi solo AMI approvate dal team DevOps e correggere automaticamente qualsiasi istanza avviata da AMI non approvate. Gli amministratori dei singoli account non devono essere in grado di rimuovere questa restrizione. Quale soluzione soddisfa questi requisiti?

La risposta corretta è abilitare AWS Config a livello di organizzazione con un conformance pack. Questo approccio garantisce che la restrizione sia applicata centralmente e non possa essere rimossa dagli amministratori dei singoli account, soddisfacendo il requisito chiave. Il conformance pack può includere la regola gestita approved-amis-by-id e configurare l'azione di correzione automatica AWS-StopEC2Instance tramite Systems Manager per le istanze non conformi. Le opzioni che utilizzano AWS CloudFormation StackSets per distribuire regole individuali in ogni account o funzioni Lambda non garantiscono l'impossibilità di rimozione da parte degli amministratori di account, poiché potrebbero disabilitare o modificare le risorse distribuite localmente. L'opzione che si basa solo su notifiche SNS non fornisce la correzione automatica richiesta.