Een organisatie gebruikt AWS Organizations om meerdere accounts te beheren. Het beveiligingsbeleid vereist dat niet-versleutelde Amazon EBS-volumes als niet-compliant worden gemarkeerd. Een DevOps-engineer moet een geautomatiseerde, altijd aanwezige compliance-controle implementeren. Welke aanpak bereikt dit?

De juiste aanpak is om een AWS Config organisatieregel te maken. AWS Config is ontworpen voor continue compliance-evaluatie en kan controleren of EBS-versleuteling is ingeschakeld voor alle volumes in de organisatie. Door een organisatieregel te gebruiken, wordt deze automatisch toegepast op alle bestaande en nieuwe accounts. Het toepassen van een Service Control Policy (SCP) om het stoppen of verwijderen van AWS Config te verbieden, zorgt ervoor dat de compliance-controle altijd actief blijft en niet kan worden omzeild, wat cruciaal is voor een "altijd aanwezige" controle. De andere opties zijn minder effectief: Een CloudFormation-template met AWS Inspector is niet de juiste service voor continue compliance van EBS-versleuteling; AWS Config is hiervoor bedoeld. Een SCP om het starten van EC2-instances zonder versleutelde EBS-volumes te voorkomen, is een preventieve maatregel, maar markeert bestaande niet-compliant volumes niet als zodanig, wat de vraag vereist. Een CodePipeline met een Lambda-functie om volumes te inventariseren, is een reactieve en periodieke controle, geen continue compliance-controle zoals AWS Config.