CloudFormation テンプレートによって VPC と EC2 セキュリティグループがデプロイされます。マネージャーは、一部のエンジニアがテストのためにいくつかの EC2 インスタンスのセキュリティグループ設定を変更したことを発見しました。開発者は、どのような変更が行われたかを特定する必要があります。どの方法で変更を特定できますか？

CloudFormation ドリフト検出は、現在のリソース設定がCloudFormationテンプレートで定義されたものと異なるかどうかを特定する機能です。この場合、セキュリティグループの設定がテンプレートから変更されたため、ドリフト検出を実行することで、どのリソースが変更され、どのような変更が行われたかを正確に特定できます。 CloudFormation YAML テンプレートに Conditions セクションを追加しても、既存の変更を検出することはできません。CloudFormation 変更セットは、提案された変更をプレビューするものであり、すでにデプロイされたリソースの変更を検出するものではありません。Amazon Detective は、セキュリティ調査と根本原因分析に特化したサービスであり、CloudFormation リソースのドリフト検出には直接使用されません。