L'azienda esegue test in un singolo account AWS su istanze Amazon EC2. AWS Config è abilitato con la regola gestita restricted-ssh. Il team necessita di una notifica automatizzata e in tempo reale, personalizzata e che includa il nome e l'ID del gruppo di sicurezza non conforme ogni volta che un gruppo di sicurezza viola la regola restricted-ssh. Esiste già un argomento SNS con gli abbonati appropriati. Cosa dovrebbe fare l'ingegnere DevOps per soddisfare questo requisito?

L'opzione corretta sfrutta Amazon EventBridge per reagire agli eventi di non conformità di AWS Config. Creando una regola EventBridge che filtra specificamente gli eventi NONCOMPLIANT per la regola restricted-ssh, si garantisce che vengano elaborate solo le notifiche pertinenti. L'uso di un input transformer è fondamentale per personalizzare il messaggio, estraendo il nome e l'ID del gruppo di sicurezza non conforme direttamente dall'evento di Config, prima di pubblicarlo sull'argomento SNS esistente. Questo soddisfa il requisito di una notifica automatizzata, in tempo reale e personalizzata. Le altre opzioni sono meno efficaci: Inoltrare tutti i risultati di Config direttamente a SNS e usare una policy di filtro SNS non permette la personalizzazione del messaggio con i dettagli specifici del gruppo di sicurezza, come richiesto. Invocare AWS Systems Manager Run Command su un argomento SNS è un uso improprio di Run Command e non è il meccanismo standard per la personalizzazione delle notifiche SNS da EventBridge. Creare una regola EventBridge generica per qualsiasi risultato NONCOMPLIANT e poi aggiungere un input transformer specificamente per restricted-ssh è meno efficiente e più complesso della soluzione proposta, che filtra l'evento all'origine.