Un'organizzazione desidera un metodo centralizzato e automatizzato su tutti gli account in AWS Organizations per rilevare i gruppi di sicurezza che consentono il traffico in entrata da 0.0.0.0/0 e per correggere automaticamente le violazioni sostituendo quella sorgente "wide-open" con il CIDR della intranet approvata dall'azienda. Quali azioni dovrebbe implementare un amministratore SysOps per raggiungere questo obiettivo?

La risposta corretta è implementare una regola AWS Config con correzione automatica. AWS Config monitora continuamente le risorse AWS per la conformità e può attivare azioni di correzione automatica quando vengono rilevate violazioni. In questo caso, una regola può identificare i gruppi di sicurezza con 0.0.0.0/0 e sostituire automaticamente questa origine con il CIDR intranet approvato, garantendo una gestione centralizzata e automatizzata su tutti gli account di AWS Organizations. Creare una policy IAM nega la creazione, ma non corregge le risorse esistenti. Una funzione AWS Lambda potrebbe scansionare e correggere, ma AWS Config offre una soluzione più integrata e gestita per la conformità. Una Service Control Policy (SCP) può impedire la creazione, ma non ha funzionalità di correzione automatica per modificare le configurazioni esistenti.