Un'azienda richiede che i team interni eseguano il provisioning delle risorse solo tramite modelli CloudFormation approvati e il team di sicurezza necessita di un rilevamento automatizzato quando le risorse si discostano dal loro stato previsto. Quale strategia soddisfa entrambi i requisiti con applicazione appropriata e monitoraggio automatizzato?

La risposta corretta è l'uso di AWS Service Catalog con vincoli di avvio e regole AWS Config. AWS Service Catalog consente di centralizzare la gestione e il provisioning di prodotti IT approvati, garantendo che i team utilizzino solo modelli CloudFormation pre-approvati. I vincoli di avvio (Launch Constraints) in Service Catalog impongono l'uso di un ruolo IAM specifico per il provisioning, garantendo che le risorse siano create in modo controllato. Le regole AWS Config sono ideali per il rilevamento automatizzato della deriva, poiché possono valutare continuamente la conformità delle risorse rispetto alle configurazioni desiderate e notificare le deviazioni. Le altre opzioni sono meno efficaci: L'uso del rilevamento della deriva di CloudFormation è utile per i singoli stack, ma non impone l'uso di modelli approvati a livello aziendale né previene la creazione di risorse non conformi al di fuori di CloudFormation. Le regole AWS Config sono utili per il rilevamento della deriva, ma senza Service Catalog non si garantisce che le risorse siano create solo tramite modelli approvati. I vincoli di modello (Template Constraints) in Service Catalog con notifiche EventBridge non sono il meccanismo più robusto per il rilevamento continuo della deriva rispetto alle configurazioni previste; AWS Config è progettato specificamente per questo.