Eén AWS-account in één Regio draait honderden EC2-instances die frequent worden gestart en beëindigd. Het beveiligingsbeleid vereist dat elke draaiende EC2-instance een instance profile heeft; als er geen is gekoppeld, moet een standaardprofiel zonder IAM-machtigingen worden toegepast. De engineer heeft bestaande instances gevonden zonder een instance profile en lopende lanceringen die ook een profiel weglaten. Wat zorgt ervoor dat alle huidige en toekomstige EC2-instances in de Regio een gekoppeld instance profile hebben?

De correcte optie is het inschakelen van de ec2-instance-profile-attached AWS Config managed rule. Deze regel is specifiek ontworpen om te controleren of EC2-instances een instance profile hebben. Door automatische herstelactie te configureren met een Systems Manager Automation runbook, kan AWS Config automatisch het standaard instance profile koppelen aan zowel bestaande als nieuwe instances die zonder profiel worden gelanceerd, wat voldoet aan de vereiste voor alle huidige en toekomstige instances. De EventBridge-regel die reageert op RunInstances API-aanroepen kan alleen nieuwe instances afvangen, niet de bestaande. Een EventBridge-regel die reageert op StartInstances API-aanroepen is onvoldoende, omdat instances ook kunnen worden gelanceerd (RunInstances) zonder een profiel. De iam-role-managed-policy-check AWS Config managed rule is niet relevant, omdat deze controleert op beheerde beleidsregels die aan IAM-rollen zijn gekoppeld, niet op de aanwezigheid van een instance profile op een EC2-instance.