Een Lambda-functie start een CloudFormation drift-detectie op een stack en sluit vervolgens af. Een EventBridge scheduled rule voert deze Lambda elk uur uit. Er bestaat een SNS topic waarop de engineer geabonneerd is. De engineer wil zo snel mogelijk een melding ontvangen wanneer drift wordt gedetecteerd voor die stack. Welke oplossing voldoet aan deze vereiste?

De correcte oplossing is om AWS Config in te schakelen met de cloudformation-stack-drift-detection-check managed rule. Deze regel controleert continu op drift in CloudFormation stacks. Wanneer AWS Config een compliance change (zoals gedetecteerde drift) rapporteert, kan een EventBridge rule worden geconfigureerd om hierop te reageren. Deze EventBridge rule kan vervolgens een melding naar het SNS topic sturen, waardoor de engineer onmiddellijk op de hoogte wordt gebracht van drift. Dit is de meest efficiënte en real-time methode, aangezien AWS Config automatisch en continu de status van de stack monitort, zonder dat de Lambda-functie actief hoeft te polle. De andere opties zijn minder geschikt: De bestaande EventBridge rule richten op het SNS topic met een filter policy is niet voldoende, omdat de initiële Lambda alleen drift-detectie start, maar de resultaten niet direct naar EventBridge stuurt. Een tweede Lambda die CloudFormation bevraagt, introduceert onnodige complexiteit en polling, wat minder efficiënt is dan AWS Config. GuardDuty is een bedreigingsdetectieservice en heeft geen ingebouwde functionaliteit voor CloudFormation drift-detectie.