Un recente aggiornamento dello stack CloudFormation è fallito e un ingegnere DevOps ha scoperto che alcune risorse dello stack erano state modificate manualmente. L'ingegnere deve rilevare le modifiche manuali alle risorse gestite da CloudFormation e avvisare il responsabile DevOps con il minimo sforzo operativo. Quale soluzione soddisfa questa esigenza?

La soluzione corretta utilizza la regola gestita di AWS Config CLOUDFORMATIONSTACKDRIFTDETECTIONCHECK per rilevare il drift delle risorse CloudFormation. Questa regola è progettata specificamente per identificare le modifiche manuali alle risorse gestite da CloudFormation. Quando la regola rileva una risorsa NONCOMPLIANT (cioè, una risorsa che ha subito un drift), una regola EventBridge può essere configurata per catturare questo evento e inviare una notifica tramite un argomento Amazon SNS al responsabile DevOps. Questo approccio è efficiente e richiede uno sforzo operativo minimo poiché sfrutta servizi AWS gestiti. Le opzioni errate presentano i seguenti problemi: L'opzione che suggerisce di creare una regola personalizzata di AWS Config con RDKlib è eccessivamente complessa e richiede più sforzo operativo rispetto all'utilizzo di una regola gestita esistente. L'opzione che attiva EventBridge sullo stato COMPLIANT è sbagliata perché le notifiche dovrebbero essere inviate per le risorse NONCOMPLIANT. L'opzione che utilizza una funzione Lambda per inviare e-mail è valida, ma l'uso diretto di SNS come destinazione EventBridge è più semplice e richiede meno gestione per una notifica e-mail.