Een bedrijf beheert meerdere AWS-accounts met AWS Organizations. Een centraal account publiceert basis Amazon Machine Images (AMI's) voor Amazon EC2. Het bedrijf gebruikt AWS Systems Manager voor software-inventarisatie en patching. Een beveiligingsingenieur heeft een organisatiebrede oplossing nodig die EC2-instances detecteert die een vereist bedrijfsssoftwarepakket missen en de software automatisch installeert wanneer deze afwezig is. Welke aanpak voldoet aan deze vereisten?

De correcte optie voldoet aan alle vereisten: detectie van ontbrekende software en automatische installatie. AWS Config met de beheerde regel ec2-managedinstance-applications-required detecteert instances zonder de vereiste software. EventBridge reageert op de non-compliant status en triggert een Lambda-functie. Deze Lambda-functie gebruikt vervolgens Systems Manager Run Command om de software te installeren, wat zorgt voor automatisering en schaalbaarheid over meerdere accounts. De andere opties zijn minder geschikt: Het publiceren van nieuwe AMI's en het afdwingen via SCP's is een preventieve maatregel voor nieuwe instances, maar pakt het probleem van bestaande instances niet aan. Het taggen van bestaande instances lost het installatieprobleem niet op. Een aangepaste patch baseline in Patch Manager is bedoeld voor het beheren van updates van software, niet voor de initiële installatie van een vereist softwarepakket dat mogelijk ontbreekt. Het maken van een Systems Manager Distributor-pakket en handmatig installeren via Run Command is een eenmalige actie en biedt geen continue detectie en automatische correctie wanneer software ontbreekt.