ソリューションアーキテクトは、0.0.0.0/0 からの SSH を許可するセキュリティグループルールを禁止する自動コンプライアンスコントロールを実装する必要があります。会社はポリシー違反があった場合に通知を受ける必要があり、運用上のオーバーヘッドを最小限に抑えつつ、できるだけ早くソリューションを必要としています。ソリューションアーキテクトは何をすべきですか？

正解は、AWS Config のマネージドルール restricted-ssh を有効にし、非準拠のルールが作成されたときに Amazon SNS 通知を生成することです。このアプローチは、最小限の運用オーバーヘッドで迅速なソリューションを提供します。restricted-ssh ルールは、セキュリティグループが0.0.0.0/0からのSSHアクセスを許可しているかを自動的に検出し、ポリシー違反があった場合にSNSを通じて通知を送信できます。 AWS Lambda スクリプトの記述は、開発とメンテナンスに時間がかかり、運用オーバーヘッドが増加します。IAM ロールとSNSトピックの組み合わせは、セキュリティグループの作成や編集自体を制限するものではなく、既存のポリシー違反を検出する目的には直接的ではありません。SCP の設定は、セキュリティグループの作成や編集を制限できますが、既存の非準拠ルールを検出して通知する機能は提供しません。