Het bedrijf moet ervoor zorgen dat VPC flow logs zijn ingeschakeld voor alle huidige en toekomstige VPC's in het account. VPC's worden beheerd met een CloudFormation stack, maar gebruikers kunnen VPC's direct aanmaken. Welke aanpak dwingt flow logs af voor bestaande en nieuw aangemaakte VPC's door elke IAM-gebruiker?

De correcte optie is om AWS Config in te schakelen met een regel die controleert op VPC flow logs en automatische herstelacties configureert. Dit zorgt ervoor dat zowel bestaande als toekomstige VPC's worden gecontroleerd en dat flow logs automatisch worden ingeschakeld als ze ontbreken, ongeacht hoe de VPC is aangemaakt (via CloudFormation of handmatig). Het toevoegen van een AWS::EC2::FlowLog resource aan de CloudFormation template werkt alleen voor VPC's die via die specifieke template zijn aangemaakt en niet voor handmatig aangemaakte VPC's of VPC's die via andere templates zijn gemaakt. Een AWS Organization SCP kan wijzigingen in flow logs voorkomen, maar dwingt niet af dat ze worden ingeschakeld als ze ontbreken. Een IAM policy die API-aanroepen met betrekking tot VPC flow logs weigert, voorkomt het aanmaken of wijzigen, maar dwingt niet af dat ze worden ingeschakeld.