Het bedrijf hanteert de regel dat geen enkele security group SSH vanaf 0.0.0.0/0 mag toestaan. Een SysOps-beheerder moet een oplossing implementeren die het operations-team waarschuwt wanneer een security group deze regel overtreedt en die de overtredende regel automatisch herstelt. Welk ontwerp voldoet aan beide vereisten?

De correcte optie gebruikt AWS Config, dat speciaal is ontworpen voor het evalueren van de compliance van AWS-resources. De restricted-ssh beheerde regel detecteert security groups die SSH vanaf 0.0.0.0/0 toestaan. Door een automatische herstelactie te koppelen met het Systems Manager Automation runbook AWS-DisablePublicAccessForSecurityGroup, wordt de overtredende regel automatisch verwijderd. Een EventBridge-regel kan vervolgens worden geconfigureerd om meldingen te versturen wanneer AWS Config een non-compliant status detecteert, wat voldoet aan de vereiste om het SysOps-team te waarschuwen. De andere opties zijn minder efficiënt of missen functionaliteit. Het gebruik van Lambda met EventBridge om elke wijziging te controleren, is mogelijk, maar AWS Config biedt een gestandaardiseerde en robuustere oplossing voor compliance. CloudTrail-metriekfilters en CloudWatch-alarmen kunnen detecteren dat er een wijziging heeft plaatsgevonden, maar vereisen meer handmatige configuratie om de inhoud van de wijziging te evalueren en te herstellen, in tegenstelling tot de ingebouwde intelligentie van AWS Config.