Un'azienda utilizza AWS Organizations e ha implementato una landing zone con AWS Control Tower. L'azienda necessita di governance in modo che le istanze di database Amazon RDS non crittografate a riposo nell'OU di produzione vengano rilevate. Quale soluzione soddisfa questo requisito?

La risposta corretta è abilitare il guardrail appropriato dall'elenco dei guardrail fortemente consigliati di AWS Control Tower e applicarlo all'OU di produzione. AWS Control Tower offre guardrail proattivi e di rilevamento predefiniti. Il guardrail "Disallow unencrypted Amazon RDS instances" è un guardrail di rilevamento fortemente consigliato che identifica le istanze RDS non crittografate. Le altre opzioni sono meno appropriate: I guardrail obbligatori sono sempre abilitati e applicati a tutte le OU, non possono essere applicati selettivamente. Creare un nuovo guardrail obbligatorio con AWS Config è un approccio più complesso e non necessario, dato che Control Tower offre già il guardrail desiderato. Le Service Control Policies (SCP) sono strumenti potenti per limitare le azioni, ma non sono progettate per il rilevamento di risorse non conformi come le istanze RDS non crittografate; sono più adatte per prevenire azioni specifiche.