Een bedrijf gebruikt AWS Organizations en wil standaard ontwerppatronen (EC2, ELB, Amazon RDS en Amazon EKS of Amazon ECS) implementeren in verschillende omgevingen met AWS CloudFormation StackSets. Ontwikkelaars bouwen momenteel hun eigen CloudFormation stacks via een gecentraliseerde CI/CD-pipeline in een shared services-account. Het beveiligingsteam heeft configuratievereisten gedefinieerd en moet op de hoogte worden gesteld van niet-compatibele resources zonder de ontwikkelaarslevering te vertragen. Wat is de meest operationeel efficiënte oplossing?

De meest operationeel efficiënte oplossing is het gebruik van CloudFormation Guard in de CI/CD-pipeline. CloudFormation Guard is een beleid-als-code-tool die kan worden gebruikt om te valideren of CloudFormation-templates voldoen aan gedefinieerde beveiligings- en configuratiestandaarden vóór implementatie. Door dit in de CI/CD-pipeline te integreren, kunnen niet-compatibele resources vroegtijdig worden gedetecteerd, wat vertragingen in de levering voorkomt. Het publiceren van overtredingen naar een SNS-topic informeert het beveiligingsteam direct zonder handmatige tussenkomst. De eerste optie met aws cloudformation validate-template controleert alleen de syntaxis van de template, niet de configuratievereisten. De derde optie introduceert onnodige complexiteit en latency met SQS en Auto Scaling Group voor validatie. De vierde optie is een preventieve maatregel voor standaardisatie, maar detecteert geen afwijkingen van die standaarden in door ontwikkelaars gemaakte templates en is reactief, niet proactief.