ある組織では、複数のアカウントを管理するためにAWS Organizationsを使用しています。セキュリティポリシーにより、暗号化されていないAmazon EBSボリュームを非準拠としてマークする必要があります。DevOpsエンジニアは、自動化された常時稼働のコンプライアンスチェックをデプロイする必要があります。これを実現するアプローチはどれですか？

正解は、AWS Config組織ルールを使用して組織全体のEBS暗号化コンプライアンスを自動的にチェックし、SCPでConfigの無効化を防ぐことです。AWS Config組織ルールは、複数のアカウントにわたるコンプライアンスチェックを一元的に管理する最も効率的な方法です。SCPは、悪意のあるまたは偶発的な設定変更からConfigルールを保護し、継続的なコンプライアンスを保証します。 他の選択肢は、この要件を満たすには不十分または非効率的です。 AWS Inspectorは脆弱性評価ツールであり、EBS暗号化の継続的なコンプライアンスチェックには適していません。 SCPでEBS暗号化なしのEC2インスタンス起動を防止することはできますが、既存の非準拠ボリュームを特定したり、継続的なコンプライアンスレポートを提供したりするものではありません。 IAMロールとCodePipelineを使用するアプローチは、カスタムスクリプトの管理が必要で、AWS Config組織ルールよりも運用上のオーバーヘッドが大きくなります。