Een bankbedrijf heeft een applicatie die vanuit een VPC alleen specifieke openbare IP-adressen mag bereiken. Een routetabel voor het subnet van de applicatie heeft routes naar die openbare IP's via een internetgateway. De engineer heeft e-mailalerts nodig wanneer iemand een standaardroute toevoegt in de routetabel van dat subnet die naar de internetgateway verwijst. Welke oplossing vereist de MINSTE implementatie-inspanning?

De correcte optie is om een AWS Config-regel te maken met de beheerde regel no-unrestricted-route-to-igw. Deze regel is specifiek ontworpen om te controleren of er geen onbeperkte routes (0.0.0.0/0 of ::/0) naar een internetgateway bestaan in routetabellen. Wanneer deze regel een non-compliant route detecteert, stuurt AWS Config een melding. Door vervolgens een Amazon EventBridge-regel te configureren om op deze melding te reageren en deze naar een Amazon SNS-onderwerp te sturen, wordt een e-mailmelding verzonden. Dit is de oplossing met de minste implementatie-inspanning omdat het gebruikmaakt van een vooraf geconfigureerde, beheerde AWS Config-regel, wat de noodzaak voor het schrijven en onderhouden van aangepaste Lambda-code elimineert. De andere opties zijn minder efficiënt: Het maken van een Lambda-functie die elke minuut routetabellen leest, is inefficiënt en genereert onnodige kosten. Een Lambda-functie die wordt aangeroepen door een CreateRoute API-aanroep is complexer om te implementeren en te onderhouden, en vereist meer aangepaste code. De internet-gateway-authorized-vpc-only regel is niet de juiste regel voor dit specifieke probleem; deze controleert of internetgateways alleen aan geautoriseerde VPC's zijn gekoppeld, niet of er onbeperkte routes naar een IGW zijn.