Een bedrijf vereist dat interne teams resources alleen via goedgekeurde CloudFormation templates provisioneren, en het beveiligingsteam heeft geautomatiseerde detectie nodig wanneer resources afwijken van hun verwachte staat. Welke strategie voldoet aan beide vereisten met passende handhaving en geautomatiseerde monitoring?

De correcte optie voldoet aan beide vereisten. AWS Service Catalog dwingt het gebruik van goedgekeurde CloudFormation-templates af door gebruikers alleen producten te laten provisioneren die zijn gedefinieerd in de catalogus. Een launch constraint zorgt ervoor dat deze producten worden geïmplementeerd met specifieke, vooraf gedefinieerde rollen en configuraties. AWS Config rules detecteren automatisch afwijkingen van de verwachte staat van resources door continu hun configuratie te monitoren en te vergelijken met de gedefinieerde regels. De eerste optie is onvoldoende omdat CloudFormation drift detection alleen afwijkingen van de template detecteert, niet noodzakelijkerwijs van de goedgekeurde staat zoals gedefinieerd door beveiligingsbeleid. De tweede optie is beter qua detectie, maar mist de afdwinging van het gebruik van alleen goedgekeurde templates; gebruikers kunnen nog steeds handmatig resources provisioneren of templates buiten de goedgekeurde set gebruiken. De vierde optie is onjuist omdat EventBridge notificaties niet primair bedoeld zijn voor het detecteren van configuratieafwijkingen van de verwachte staat; AWS Config rules zijn hiervoor de juiste service.