Un architetto di soluzioni deve implementare un controllo di conformità automatizzato che proibisca le regole dei gruppi di sicurezza che consentono SSH da 0.0.0.0/0. L'azienda deve essere notificata quando la policy viene violata e necessita di una soluzione il prima possibile con il minimo overhead operativo. Cosa dovrebbe fare l'architetto di soluzioni?

La risposta corretta è abilitare la regola gestita AWS Config restricted-ssh e generare una notifica Amazon SNS. Questa soluzione è la più rapida e ha il minimo overhead operativo perché utilizza una regola predefinita di AWS Config specificamente progettata per rilevare gruppi di sicurezza che consentono SSH da 0.0.0.0/0. AWS Config può essere configurato per inviare notifiche tramite Amazon SNS quando rileva una non conformità. Le altre opzioni sono meno efficienti: Scrivere uno script AWS Lambda richiede più tempo di sviluppo e manutenzione, aumentando l'overhead operativo. Creare un ruolo IAM per monitorare l'assunzione di ruoli non impedisce la creazione di regole non conformi, ma monitora solo l'uso di un ruolo specifico. Configurare una SCP impedirebbe la creazione di regole da parte di utenti non amministrativi, ma non rileverebbe le regole esistenti o quelle create da amministratori, né fornirebbe una notifica automatica per le violazioni di conformità specifiche di SSH.