Orbital Commerce deve garantire che ogni VPC in tutti gli account membro e in tutte le Regioni della sua AWS Organization abbia almeno un VPC Flow Log abilitato, e desidera che i VPC non conformi vengano corretti automaticamente. Un team di sicurezza centrale necessita anche di una vista di conformità a livello di organizzazione. Qual è la soluzione MIGLIORE?

La soluzione migliore sfrutta AWS Config per il monitoraggio e la correzione automatica a livello di organizzazione. Nominare un amministratore delegato di Config centralizza la gestione. La regola gestita vpc-flow-logs-enabled rileva i VPC non conformi, e l'azione di correzione automatica con un runbook di Systems Manager Automation abilita i Flow Log, garantendo la conformità. Un aggregatore dell'organizzazione fornisce una vista consolidata della conformità su tutti gli account e le Regioni. Le altre opzioni sono meno efficaci: Security Hub è ottimo per la sicurezza, ma la sua correzione automatica diretta per i Flow Log potrebbe richiedere configurazioni più complesse rispetto a Config per questo specifico caso d'uso, e non è il suo scopo primario. I filtri di sottoscrizione di CloudWatch Logs e Lambda sono un approccio reattivo e decentralizzato che richiede una gestione complessa per l'intera organizzazione e non offre una vista di conformità integrata come Config. CloudFormation StackSets è uno strumento di provisioning, non di monitoraggio continuo della conformità con correzione automatica per le deviazioni, e richiederebbe un'esecuzione periodica manuale o tramite altri servizi per la rilevazione delle deviazioni.