Un'organizzazione ha 10 account AWS in AWS Organizations. Ogni account esegue AWS Config e appartiene all'OU Prod o all'OU NonProd. Ogni account ha una regola EventBridge che notifica un argomento SNS quando viene creata una regola in entrata di un gruppo di sicurezza EC2 con sorgente 0.0.0.0/0; il team di sicurezza si iscrive all'argomento SNS. Per tutti gli account dell'OU NonProd, il team di sicurezza deve rimuovere la possibilità di creare regole in entrata per i gruppi di sicurezza che consentono 0.0.0.0/0. Quale approccio raggiunge questo obiettivo con il MINOR overhead operativo?

L'opzione corretta è creare una Service Control Policy (SCP) che neghi esplicitamente l'azione ec2:AuthorizeSecurityGroupIngress quando la condizione aws:SourceIp è 0.0.0.0/0 e applicarla all'OU NonProd. Questo approccio è il più efficiente perché le SCP sono controlli preventivi a livello di organizzazione che impediscono la creazione di risorse non conformi fin dall'inizio, riducendo al minimo l'overhead operativo. Le altre opzioni sono meno ideali: Modificare la regola EventBridge con una funzione Lambda è un approccio reattivo. Permetterebbe la creazione della regola e poi tenterebbe di correggerla, generando un overhead maggiore e un potenziale rischio di esposizione temporanea. La regola gestita di AWS Config vpc-sg-open-only-to-authorized-ports è una regola di conformità reattiva che rileva le non conformità ma non le impedisce attivamente. Inoltre, potrebbe non coprire esattamente il caso d'uso di 0.0.0.0/0 per qualsiasi porta. Un'SCP che consente ec2:AuthorizeSecurityGroupIngress solo quando aws:SourceIp non è 0.0.0.0/0 è meno specifica e potrebbe avere effetti collaterali indesiderati o non coprire tutti gli scenari di negazione. La negazione esplicita è più chiara e sicura.