Het bedrijf gebruikt RDS voor alle databases en AWS Control Tower voor het beheer van accounts. Alle databases moeten at rest versleuteld zijn. De security engineer moet op de hoogte worden gebracht van alle niet-compatibele (niet-versleutelde) RDS-instances in alle accounts. Welke oplossing biedt de meeste operationele efficiëntie?

De correcte optie is de meest operationeel efficiënte omdat deze gebruikmaakt van de ingebouwde mogelijkheden van AWS Control Tower. Control Tower-guardrails zijn ontworpen om beleid af te dwingen en te controleren over alle accounts binnen een organisatie, wat schaalbaarheid en consistentie biedt zonder handmatige implementatie in elk account. Het inschakelen van de detective control voor RDS-versleuteling is een eenmalige actie die vervolgens automatisch alle accounts controleert. Het gebruik van EventBridge om meldingen van niet-compatibele gebeurtenissen naar een SNS-topic te routeren, centraliseert de waarschuwingen en automatiseert de communicatie met de security engineer. De andere opties zijn minder efficiënt: Lambda-functies in elk account vereisen handmatige implementatie en onderhoud via CloudFormation StackSets, wat meer overhead met zich meebrengt dan een Control Tower-guardrail. Een aangepaste AWS Config-regel in elk account vereist ook handmatige implementatie en configuratie per account, wat minder efficiënt is dan een centrale Control Tower-guardrail. Een EC2-instance met een cron-taak is de minst efficiënte optie, omdat het een server vereist die moet worden beheerd en geschaald, en de logica voor het controleren van alle accounts en het verzenden van meldingen handmatig moet worden geïmplementeerd.