Per applicare una policy di tagging, un amministratore ha bisogno che qualsiasi istanza EC2 priva di un tag di dipartimento venga terminata quasi immediatamente dopo la creazione. Quale implementazione rileverà le istanze non conformi e le terminerà quasi in tempo reale?

La risposta corretta è creare una regola AWS Config con la regola gestita required-tags e configurare la remediation automatica per terminare le istanze. AWS Config monitora continuamente le risorse e può rilevare quasi in tempo reale le istanze EC2 prive del tag di dipartimento richiesto. La remediation automatica, che utilizza un documento di automazione di Systems Manager come AWS-TerminateEC2Instance, garantisce che le istanze non conformi vengano terminate rapidamente. Le altre opzioni sono meno efficaci o non soddisfano il requisito di terminazione quasi in tempo reale. Creare una regola EventBridge (CloudWatch Events) per monitorare gli eventi di creazione delle istanze EC2 e inoltrarli a un argomento SNS per la remediation richiederebbe un'ulteriore logica personalizzata per la terminazione, rendendola meno automatizzata e più complessa. Richiedere autorizzazioni ec2:CreateTags ed ec2:DescribeTags e impostare il comportamento di spegnimento su terminazione non garantisce che le istanze vengano terminate se il tag non viene applicato al momento della creazione. Utilizzare AWS Systems Manager Compliance per gestire le istanze ed eseguire il documento di automazione AWS-StopEC2Instances non è sufficiente, poiché l'obiettivo è terminare le istanze, non solo arrestarle.