ある企業がAWS Organizationsを使用しており、AWS Control Towerでランディングゾーンをデプロイしました。この企業は、本番環境のOUで保存時に暗号化されていないAmazon RDS DBインスタンスを検出するためのガバナンスを必要としています。この要件を満たすソリューションはどれですか？

AWS Control Towerは、AWS環境のガバナンスを簡素化するために設計されています。保存時に暗号化されていないAmazon RDS DBインスタンスの検出には、Control Towerの「強く推奨されるガードレール」の1つである「Amazon RDS DB インスタンスが保存時に暗号化されていることを検出する」が直接対応しています。このガードレールを有効化し、本番環境のOUに適用することで、要件を満たせます。 「必須のガードレール」は基本的なセキュリティと運用に焦点を当てており、この特定のRDS暗号化要件には直接対応していません。AWS Configで新しいガードレールを作成することは可能ですが、Control Towerが提供する既存のガードレールを利用する方が効率的です。カスタムSCPはリソースのプロビジョニングを制限できますが、既存のリソースが要件を満たしているかを「検出」する機能はありません。