ある組織が、AWS Organizations のすべての AWS アカウントで、0.0.0.0/0 からのインバウンドトラフィックを許可するセキュリティグループを検出するための、一元化された自動化された方法を求めています。また、その広範囲に開かれたソースを会社の承認済みイントラネット CIDR に置き換えることで、違反を自動的に修復したいと考えています。これを実現するために、SysOps 管理者はどのようなアクションを実装すべきですか？

このソリューションは、AWS Config を使用して、組織内のすべての AWS アカウントでセキュリティグループの変更を継続的に監視します。0.0.0.0/0 からのインバウンドトラフィックを許可するセキュリティグループを検出すると、Config ルールが違反としてフラグを立てます。その後、自動修復アクションがトリガーされ、広範囲に開かれたソースが会社の承認済みイントラネット CIDR に自動的に置き換えられます。これにより、手動介入なしでセキュリティ体制が維持されます。 IAM ポリシーはセキュリティグループの作成を拒否できますが、既存の違反を修復することはできません。Lambda 関数はカスタムロジックを提供しますが、AWS Config のような統合された監視および修復機能はありません。SCP はセキュリティグループの作成をブロックできますが、既存のセキュリティグループのルールを修正する機能はありません。