L'azienda utilizza RDS per tutti i database e AWS Control Tower per gestire gli account. Tutti i database devono essere crittografati a riposo. L'ingegnere della sicurezza deve essere informato su eventuali istanze RDS non conformi (non crittografate) tra gli account. Quale soluzione offre la massima efficienza operativa?

La soluzione corretta sfrutta i guardrail proattivi e di rilevamento di AWS Control Tower, che sono progettati specificamente per gestire la conformità in ambienti multi-account. Abilitando il guardrail per la crittografia RDS, Control Tower monitora automaticamente tutti gli account gestiti. Gli eventi di non conformità vengono inviati a EventBridge, che può quindi filtrarli e inoltrarli a un argomento SNS nell'account di audit, centralizzando le notifiche per l'ingegnere della sicurezza. Questo approccio è efficiente perché Control Tower gestisce la distribuzione e il monitoraggio tra gli account senza richiedere la configurazione manuale di regole o funzioni in ogni account. Le opzioni errate presentano inefficienze: Distribuire funzioni Lambda in ogni account con CloudFormation StackSets richiede la gestione di codice e stack, aumentando il sovraccarico operativo. Distribuire una regola AWS Config personalizzata in ogni account è meno efficiente rispetto all'uso dei guardrail nativi di Control Tower, che sono già integrati per la governance multi-account. L'uso di un'istanza EC2 con un cron job e la AWS CLI è un approccio manuale, non scalabile e ad alta manutenzione, che va contro i principi di efficienza operativa in AWS.