Een solutions architect moet een geautomatiseerde compliancecontrole implementeren die security group-regels verbiedt die SSH vanuit 0.0.0.0/0 toestaan. Het bedrijf moet op de hoogte worden gesteld wanneer het beleid wordt overtreden en heeft zo snel mogelijk een oplossing nodig met de minste operationele overhead. Wat moet de solutions architect doen?

De correcte optie is het inschakelen van de restricted-ssh AWS Config managed rule en het genereren van een Amazon SNS-melding. AWS Config is een service die de configuratie van AWS-resources evalueert en bewaakt. De restricted-ssh managed rule is specifiek ontworpen om te controleren of security groups SSH-toegang vanuit 0.0.0.0/0 toestaan. Wanneer deze regel wordt overtreden, kan AWS Config automatisch een melding via Amazon SNS versturen, wat voldoet aan de vereiste voor onmiddellijke kennisgeving met minimale operationele overhead. Het schrijven van een Lambda-script is mogelijk, maar vereist meer ontwikkelings- en onderhoudsinspanningen dan het gebruik van een reeds bestaande AWS Config managed rule. Het aanmaken van een IAM-rol en het monitoren van het aannemen ervan heeft geen directe betrekking op het controleren van security group-regels. Een Service Control Policy (SCP) is bedoeld voor het beheren van permissies binnen een AWS Organization en niet voor het monitoren van specifieke resourceconfiguraties of het genereren van meldingen bij beleidsovertredingen op dit detailniveau.