Un'azienda utilizza AWS Organizations e desidera implementare modelli di progettazione standard (EC2, ELB, Amazon RDS e Amazon EKS o Amazon ECS) in diversi ambienti con AWS CloudFormation StackSets. Attualmente gli sviluppatori creano i propri stack CloudFormation tramite una pipeline CI/CD centralizzata in un account di servizi condivisi. Il team di sicurezza ha definito i requisiti di configurazione e deve essere informato di eventuali risorse non conformi senza rallentare la consegna da parte degli sviluppatori. Qual è la soluzione più efficiente dal punto di vista operativo?

L'opzione corretta è la più efficiente perché CloudFormation Guard consente di definire regole di conformità personalizzate per i modelli CloudFormation, garantendo che le risorse create soddisfino i requisiti di sicurezza. L'integrazione di cfn-guard nella pipeline CI/CD, prima della fase di build, permette di rilevare le violazioni in fase iniziale, prevenendo la distribuzione di risorse non conformi. L'utilizzo di un'immagine Docker standardizza l'esecuzione e l'argomento SNS assicura che il team di sicurezza venga notificato tempestivamente senza rallentare il processo di sviluppo. Le altre opzioni sono meno efficienti: L'opzione con aws cloudformation validate-template verifica solo la sintassi del modello, non la conformità ai requisiti di sicurezza specifici. L'opzione con S3, SQS e un gruppo con scalabilità automatica introduce complessità e latenza aggiuntive per una verifica che può essere eseguita prima. L'opzione di un set di stack centralizzato e revisione manuale del team di sicurezza rallenta il processo di consegna e non scala efficacemente con l'aumento dei modelli o delle modifiche.