Un template CloudFormation distribuisce VPC e gruppi di sicurezza EC2. Un manager scopre che alcuni ingegneri hanno modificato le impostazioni dei gruppi di sicurezza su alcune istanze EC2 per scopi di test. Uno sviluppatore deve determinare quali modifiche sono state apportate. Quale metodo identificherà le modifiche?

L'opzione corretta è eseguire il rilevamento della deriva (drift detection) di CloudFormation. CloudFormation Drift Detection confronta lo stato attuale delle risorse nello stack con lo stato definito nel template CloudFormation. Se un ingegnere ha modificato manualmente un gruppo di sicurezza EC2, il rilevamento della deriva identificherà questa risorsa come "drifted" (modificata), indicando le differenze. Le altre opzioni sono errate perché: Aggiungere una sezione Conditions al template e rieseguire lo stack non rivelerebbe le modifiche esistenti, ma influenzerebbe solo la creazione o l'aggiornamento condizionale di risorse future. Eseguire un change set di CloudFormation mostra le modifiche che verrebbero applicate se si aggiornasse lo stack con un nuovo template, non le modifiche manuali già apportate alle risorse. Amazon Detective è un servizio di sicurezza che analizza i dati di log per identificare potenziali minacce e attività insolite, ma non è lo strumento primario per confrontare lo stato delle risorse con un template CloudFormation.