Een organisatie wil een gecentraliseerde, geautomatiseerde methode voor alle accounts in AWS Organizations om security groups te detecteren die inkomend verkeer van 0.0.0.0/0 toestaan en om overtredingen automatisch te herstellen door die wijd open bron te vervangen door de goedgekeurde intranet CIDR van het bedrijf. Welke acties moet een SysOps-beheerder implementeren om dit te bereiken?

De correcte optie is het implementeren van een AWS Config-regel met automatische herstelacties. AWS Config kan continu de configuratie van AWS-resources monitoren, inclusief security groups. Een regel kan worden geconfigureerd om security groups te detecteren die inkomend verkeer van 0.0.0.0/0 toestaan. De automatische herstelactie kan vervolgens de overtredende regel aanpassen om 0.0.0.0/0 te vervangen door het goedgekeurde intranet CIDR-blok, wat zorgt voor gecentraliseerde en geautomatiseerde naleving. Het maken van een IAM-policy om de aanmaak van security groups met 0.0.0.0/0 te weigeren, voorkomt weliswaar nieuwe overtredingen, maar herstelt niet automatisch bestaande overtredingen en is minder schaalbaar over meerdere accounts. Een AWS Lambda-functie kan dit ook bereiken, maar AWS Config biedt een meer beheerde en geïntegreerde oplossing voor dit specifieke gebruiksscenario, inclusief de automatische herstelfunctionaliteit. Een service control policy (SCP) kan de aanmaak van resources beperken, maar kan geen automatische herstelacties uitvoeren op resource-eigenschappen zoals security group-regels.