Een bedrijf gebruikt voornamelijk EC2. Het DevOps-team moet alle EC2-instanties controleren op de installatie van verboden applicaties. Welke aanpak voldoet aan deze vereiste met de minste operationele overhead?

De juiste aanpak is om AWS Systems Manager op elke instantie te installeren en te configureren, Systems Manager Inventory in te schakelen en AWS Config-regels te maken die Inventory-wijzigingen evalueren om verboden applicaties te detecteren. Systems Manager Inventory verzamelt automatisch software-informatie. AWS Config-regels kunnen vervolgens continu de inventarisgegevens controleren op naleving, wat een geautomatiseerde en efficiënte oplossing biedt met minimale operationele overhead. Optie 1 (resource data sync naar S3 en Lambda) voegt onnodige complexiteit toe door een extra S3-bucket en Lambda-functie te introduceren, wat meer overhead creëert dan nodig is. Optie 3 (CloudTrail filteren) is niet effectief omdat CloudTrail voornamelijk API-activiteit logt en niet direct de inhoud van Systems Manager Inventory-gegevens voor gedetailleerde applicatie-inventarisatie. Optie 4 (logs naar CloudWatch Logs en script) vereist handmatig scriptbeheer en configuratie op elke instantie, wat aanzienlijk meer operationele overhead met zich meebrengt dan de geïntegreerde Systems Manager Inventory-functionaliteit.