Un'azienda gestisce più account AWS con AWS Organizations. Un account centrale pubblica Amazon Machine Image (AMI) di base per Amazon EC2. L'azienda utilizza AWS Systems Manager per l'inventario del software e il patching. Un ingegnere della sicurezza necessita di una soluzione a livello di organizzazione che rilevi le istanze EC2 a cui manca un pacchetto software aziendale richiesto e installi automaticamente il software quando è assente. Quale approccio soddisfa questi requisiti?

L'opzione corretta abilita AWS Config centralmente per monitorare la conformità del software su tutte le istanze EC2 nell'organizzazione. La regola gestita ec2-managedinstance-applications-required rileva le istanze prive del software richiesto. EventBridge cattura questi eventi di non conformità e attiva una funzione Lambda. Questa funzione Lambda utilizza Systems Manager Run Command per installare automaticamente il software mancante, soddisfacendo i requisiti di rilevamento e installazione automatica a livello di organizzazione. Le altre opzioni sono meno efficaci: Pubblicare nuove AMI preinstallate non risolve il problema delle istanze esistenti e richiede un processo di aggiornamento AMI continuo e complesso. Una patch baseline personalizzata in Patch Manager è per la gestione delle patch di sicurezza, non per l'installazione di software applicativo aziendale mancante. Creare un pacchetto Systems Manager Distributor e usare Run Command per installare il software è un approccio manuale o semi-manuale, non una soluzione automatica di rilevamento e correzione basata sulla conformità.