Un'organizzazione utilizza AWS Organizations per gestire più account. La policy di sicurezza richiede di contrassegnare come non conformi tutti i volumi Amazon EBS non crittografati. Un ingegnere DevOps deve implementare un controllo di conformità automatizzato e sempre presente. Quale approccio realizza questo obiettivo?

L'opzione corretta è la più efficace per un controllo di conformità automatizzato e sempre attivo su più account. Una regola organizzativa di AWS Config consente di distribuire e gestire centralmente una regola di conformità su tutti gli account di un'organizzazione, verificando la crittografia dei volumi EBS. L'applicazione di un Service Control Policy (SCP) che impedisce l'arresto o l'eliminazione di AWS Config garantisce che la regola rimanga attiva e non possa essere disabilitata dagli account membri, fornendo un controllo "sempre presente". Le altre opzioni sono meno adatte: L'uso di AWS CloudFormation con AWS Inspector non è il metodo più diretto per la conformità continua sui volumi EBS e richiederebbe una gestione più complessa per l'implementazione su tutti gli account. Un SCP che impedisce l'avvio di istanze senza crittografia è proattivo ma non valuta i volumi esistenti o quelli creati in altri modi, e l'analisi di CloudTrail con Athena è un approccio reattivo, non un controllo di conformità continuo. L'implementazione di un ruolo IAM e una pipeline con AWS Lambda è un approccio personalizzato che richiede maggiore sviluppo e manutenzione rispetto a una regola AWS Config nativa.