Un audit di sicurezza ha rilevato diversi volumi Amazon EBS non crittografati collegati a migliaia di istanze EC2 in un account aziendale. La policy aziendale impone la crittografia dei volumi EBS. L'azienda necessita di una soluzione automatizzata per crittografare i volumi esistenti non crittografati e per impedire ai team di sviluppo di creare volumi non crittografati. Quale soluzione soddisfa questi requisiti?

La soluzione corretta soddisfa entrambi i requisiti: la crittografia dei volumi esistenti e la prevenzione della creazione di nuovi volumi non crittografati. AWS Config, con la regola gestita encrypted-volumes, rileva i volumi EBS non crittografati. L'azione di remediation automatica, tramite un runbook di Systems Manager Automation, può creare un nuovo volume crittografato dai dati del volume non crittografato, sostituendolo. Per prevenire la creazione futura di volumi non crittografati, la modifica dell'impostazione di crittografia EBS a livello di account impone la crittografia per tutti i nuovi volumi e snapshot. Le opzioni errate presentano le seguenti carenze: L'opzione 1 propone di negare la creazione di volumi non crittografati tramite una policy della chiave KMS, ma le policy KMS non gestiscono la creazione di volumi EBS. L'opzione 2 e 3 utilizzano AWS Systems Manager Fleet Manager per elencare i volumi, ma Fleet Manager è per la gestione delle istanze e non è lo strumento primario per rilevare la conformità dei volumi EBS. Inoltre, l'opzione 2 propone una SCP, che è efficace per account multi-organizzazione ma non è il metodo più diretto per imporre la crittografia a livello di account singolo per i volumi EBS.