회사는 계정의 모든 현재 및 미래 VPC에 대해 VPC 플로우 로그가 활성화되도록 해야 합니다. VPC는 CloudFormation 스택으로 관리되지만, 사용자가 VPC를 직접 생성할 수도 있습니다. 어떤 접근 방식이 기존 및 새로 생성된 VPC에 대해 모든 IAM 사용자에 의한 플로우 로그를 강제합니까?

정답은 AWS Config를 활성화하고, VPC 플로우 로그가 활성화되었는지 확인하는 Config 규칙을 추가하고, 플로우 로그를 활성화하도록 자동 교정을 구성하는 것입니다. 이 접근 방식은 기존 및 새로 생성된 VPC 모두에 대해 플로우 로그가 활성화되도록 보장하며, CloudFormation 외부에서 수동으로 생성된 VPC도 포함합니다. 자동 교정은 비준수 상태가 감지될 때 플로우 로그를 자동으로 활성화하여 지속적인 규정 준수를 유지합니다. CloudFormation 템플릿에 AWS::EC2::FlowLog 리소스를 추가하는 것은 CloudFormation으로 관리되는 VPC에만 적용되며, 수동으로 생성된 VPC는 다루지 못합니다. AWS Organizations SCP는 플로우 로그 변경을 방지할 수 있지만, 플로우 로그가 활성화되지 않은 VPC에 대해 플로우 로그를 강제로 활성화하지는 않습니다. VPC 플로우 로그와 관련된 API 호출을 거부하는 IAM 정책은 플로우 로그를 비활성화하는 것을 막을 수 있지만, 플로우 로그가 활성화되지 않은 VPC에 대해 플로우 로그를 강제로 활성화하지는 않습니다.