Una funzione Lambda avvia un rilevamento di drift di CloudFormation su uno stack e poi termina. Una regola pianificata di EventBridge esegue questa Lambda ogni ora. Esiste un argomento SNS e l'ingegnere è iscritto ad esso. L'ingegnere desidera essere notificato il prima possibile quando viene rilevato un drift per quello stack. Quale soluzione soddisfa questo requisito?

La soluzione corretta sfrutta AWS Config e la regola gestita cloudformation-stack-drift-detection-check. Questa regola valuta continuamente lo stato di drift degli stack CloudFormation. Quando AWS Config rileva un cambiamento nello stato di conformità (ad esempio, un drift), emette un evento. Una regola EventBridge può essere configurata per catturare specificamente questi eventi di modifica della conformità per lo stack interessato e inoltrare immediatamente una notifica all'argomento SNS. Questo garantisce una notifica rapida non appena il drift viene rilevato da AWS Config, soddisfacendo il requisito di essere avvisati "il prima possibile". Le altre opzioni sono meno efficienti o non adatte: La prima opzione non funziona perché la regola EventBridge esistente attiva solo la Lambda, non esegue il rilevamento del drift. Non c'è un evento di drift da filtrare direttamente da EventBridge. La seconda opzione introduce complessità aggiuntiva con una seconda Lambda che deve interrogare attivamente, il che è meno reattivo e più costoso rispetto all'approccio basato su eventi di AWS Config. La terza opzione è errata perché Amazon GuardDuty non offre il rilevamento del drift per gli stack CloudFormation; si concentra sulla protezione dalle minacce.