Een CloudFormation-template implementeert VPC- en EC2-beveiligingsgroepen. Een manager ontdekt dat enkele engineers de instellingen van beveiligingsgroepen op een paar EC2-instances hebben gewijzigd voor testdoeleinden. Een ontwikkelaar moet bepalen welke wijzigingen zijn aangebracht. Welke methode identificeert de wijzigingen?

CloudFormation drift detection is de juiste methode omdat het specifiek is ontworpen om verschillen te identificeren tussen de daadwerkelijke configuratie van resources in een stack en de configuratie die is gedefinieerd in de CloudFormation-template. Dit stelt u in staat om te zien welke beveiligingsgroepinstellingen handmatig zijn gewijzigd. Het toevoegen van een Conditions-sectie aan de template is niet relevant voor het detecteren van bestaande wijzigingen; Conditions bepalen of resources worden gecreëerd op basis van specifieke voorwaarden. Een CloudFormation change set toont alleen de wijzigingen die zouden worden aangebracht als de template opnieuw zou worden geïmplementeerd, niet de wijzigingen die al handmatig zijn aangebracht. Amazon Detective is een beveiligingsservice die helpt bij het analyseren van beveiligingsbevindingen en het identificeren van de hoofdoorzaak van beveiligingsincidenten, maar het is niet de primaire tool voor het detecteren van configuratie-drift in CloudFormation.