Utilizzando l'account di gestione di AWS Control Tower e CloudFormation StackSets, un ingegnere DevOps deve abilitare Amazon GuardDuty per gli account che non lo hanno ancora abilitato. Per evitare errori di deployment di StackSets, come dovrebbe essere progettato il template CloudFormation?
Scegli una risposta
Tocca un'opzione per controllare la tua risposta.
Risposta corretta: Aggiungere una risorsa personalizzata CloudFormation che invoca una funzione Lambda; fare in modo che la Lambda verifichi se GuardDuty è abilitato e lo abiliti solo se non è già attivo..
Perché questa è la risposta
La risposta corretta è aggiungere una risorsa personalizzata CloudFormation che invoca una funzione Lambda. Questa Lambda può verificare lo stato di GuardDuty e abilitarlo solo se non è già attivo. Questo approccio è robusto perché CloudFormation StackSets non gestisce intrinsecamente la logica condizionale complessa basata sullo stato di servizio esistente in ogni account. L'uso di una risorsa personalizzata con Lambda permette di implementare una logica idempotente che previene errori di deployment se GuardDuty è già abilitato. Le altre opzioni sono meno efficaci: Le "Conditions" di CloudFormation sono valutate prima del deployment e non possono interrogare lo stato runtime di un servizio in un account. "Fn::GetAtt" recupera attributi di risorse create dal template stesso, non di servizi esistenti non gestiti da CloudFormation. Assemblare manualmente gli ID account è impraticabile e non scalabile per un ambiente dinamico gestito con AWS Control Tower e StackSets.
Supera il tuo esame — senza l'infinita caccia alle risposte
Ottieni ogni domanda e spiegazione verificata per questo esame in un unico posto, e risparmia ore di preparazione. Oltre 1.000 certificazioni · Oltre 20 lingue · Inizia gratuitamente.
Supera il tuo esame più velocemente → Nessuna carta richiesta