社内チームが承認済みのCloudFormationテンプレートを介してのみリソースをプロビジョニングすることを会社が要求しており、セキュリティチームはリソースが予期された状態からドリフトしたときに自動検出を必要としています。適切な強制と自動監視の両方で両方の要件を満たす戦略はどれですか？

この戦略は、承認済みテンプレートによるプロビジョニングとドリフト検出の両方を満たします。AWS Service Catalogは、承認されたCloudFormationテンプレート（製品）のみをユーザーがプロビジョニングできるように強制し、起動制約により、ユーザーが製品を起動する際に特定のパラメータやリソースタイプを制限できます。これにより、承認された方法でのみリソースが作成されることが保証されます。AWS Configルールは、プロビジョニングされたリソースが予期された設定から逸脱した場合に自動的に検出するため、セキュリティチームの要件を満たします。 他の選択肢は不完全です。CloudFormationドリフト検出はテンプレートからの逸脱を検出しますが、ユーザーが承認されていないテンプレートを直接デプロイするのを防ぐことはできません。EventBridge通知はドリフト検出のメカニズムとしては不十分であり、AWS Configルールのような詳細な設定評価は行いません。