Een bedrijf beheert zijn infrastructuur in één AWS-account. Drie engineers beheren en ontwikkelen in dat account. Af en toe wijzigt de ene engineer de EC2 security group van een andere engineer en introduceert daarbij niet-compatibele beveiligingsinstellingen. Een solutions architect moet een systeem implementeren dat wijzigingen vastlegt die door engineers zijn aangebracht en waarschuwingen verzendt wanneer EC2 security group-instellingen niet-compatibel worden. Wat is de SNELSTE manier om dit te bereiken?

De snelste manier om dit te bereiken is door AWS Config in te schakelen voor EC2 security groups. AWS Config bewaakt en registreert continu configuratiewijzigingen van AWS-resources, inclusief EC2 security groups. U kunt AWS Config Rules definiëren om te controleren op niet-compatibele beveiligingsinstellingen. Wanneer een regel wordt geschonden, kan AWS Config automatisch meldingen verzenden via een Amazon SNS-onderwerp, waardoor onmiddellijke waarschuwingen mogelijk zijn. Optie A is onjuist omdat AWS Organizations en SCP's primair worden gebruikt voor het beheren van machtigingen en het afdwingen van beleid over meerdere accounts, niet voor het detecteren van niet-compatibele configuraties binnen één account en het verzenden van waarschuwingen. Optie B is onjuist omdat CloudTrail wel wijzigingen vastlegt, maar het vereist handmatige configuratie van complexe CloudWatch Events-regels om niet-compatibiliteit te detecteren, wat minder snel en efficiënt is dan AWS Config. Optie C is onjuist omdat SCP's geen waarschuwingen genereren bij niet-compatibele wijzigingen; ze voorkomen alleen acties.