Een bedrijf gebruikt AWS Organizations en heeft een landing zone geïmplementeerd met AWS Control Tower. Het bedrijf heeft governance nodig zodat Amazon RDS DB-instances die niet versleuteld zijn at rest in de productie-OU worden gedetecteerd. Welke oplossing voldoet aan deze vereiste?

De juiste oplossing is om de relevante sterk aanbevolen guardrail in te schakelen en toe te passen op de productie-OU. AWS Control Tower biedt een reeks preventieve en detectieve guardrails. De detectieve guardrail "Detecteer niet-versleutelde Amazon RDS DB-instances" (of vergelijkbaar) is specifiek ontworpen om dit probleem aan te pakken. Door deze in te schakelen en toe te passen op de productie-OU, wordt automatisch gedetecteerd of RDS DB-instances niet versleuteld zijn, wat voldoet aan de governance-vereiste. Verplichte guardrails zijn preventief en voorkomen de aanmaak van niet-versleutelde RDS-instances, maar detecteren bestaande niet. Een nieuwe verplichte guardrail maken via AWS Config is niet de meest efficiënte route, omdat Control Tower al een geschikte guardrail biedt. Een aangepast SCP is preventief en kan de aanmaak blokkeren, maar detecteert geen bestaande niet-versleutelde instances.