Un'azienda utilizza l'infrastruttura come codice (IaC) con i template di AWS CloudFormation e una pipeline CI/CD esistente per distribuire le risorse AWS. Dopo un audit di sicurezza, l'azienda desidera applicare la policy come codice per impedire la distribuzione di risorse non conformi (ad esempio, un volume Amazon EBS non crittografato). Quale soluzione soddisferà questo requisito?

AWS CloudFormation Guard è uno strumento open source che consente di definire policy come codice per convalidare i template di CloudFormation prima della loro distribuzione. Integrando CloudFormation Guard come fase nella pipeline CI/CD, l'azienda può bloccare proattivamente la distribuzione di risorse non conformi (come volumi EBS non crittografati) in base alle policy definite. Questo approccio garantisce che le policy di sicurezza siano applicate all'inizio del ciclo di vita dello sviluppo. Le altre opzioni sono meno efficaci per questo requisito: AWS Trusted Advisor fornisce raccomandazioni, ma non blocca la distribuzione di risorse non conformi. AWS Config valuta la conformità delle risorse dopo che sono state distribuite, non previene la loro creazione. Le Service Control Policies (SCP) sono utilizzate per definire le autorizzazioni massime per gli account in un'organizzazione AWS, ma non sono progettate per convalidare i template IaC all'interno di una pipeline CI/CD.