Het bedrijf voert tests uit in één AWS-account op Amazon EC2-instances. AWS Config is ingeschakeld met de beheerde regel restricted-ssh. Het team heeft een geautomatiseerde, real-time melding nodig die is aangepast en de naam en ID van de niet-compatibele security group bevat wanneer een security group de restricted-ssh-regel schendt. Er bestaat al een SNS topic met de juiste abonnees. Wat moet de DevOps engineer vervolgens doen om aan deze vereiste te voldoen?

De correcte aanpak is het maken van een Amazon EventBridge-regel die specifiek reageert op AWS Config-evaluaties met de status NONCOMPLIANT voor de restricted-ssh-regel. EventBridge is ideaal voor het filteren en routeren van gebeurtenissen. Door een input transformer te gebruiken, kan de EventBridge-regel de relevante details, zoals de naam en ID van de security group, uit de AWS Config-gebeurtenis extraheren en een aangepast bericht samenstellen. Dit aangepaste bericht kan vervolgens direct naar het bestaande SNS topic worden gepubliceerd, waardoor abonnees real-time en gerichte meldingen ontvangen. Het configureren van AWS Config om alle evaluatieresultaten rechtstreeks naar SNS te sturen en vervolgens een SNS filter policy toe te passen, is minder efficiënt omdat het SNS topic alle evaluaties ontvangt, niet alleen de relevante. Het aanroepen van AWS Systems Manager Run Command is onnodig complex voor deze taak, aangezien EventBridge met input transformers dit direct kan afhandelen. Het matchen van alle NONCOMPLIANT-resultaten en vervolgens een input transformer specifiek voor restricted-ssh toevoegen, is minder nauwkeurig dan direct filteren op de specifieke regel in de EventBridge-regel zelf.