Het DevOps-team van een bedrijf beheert meerdere AWS-accounts binnen een AWS Organizations-organisatie. Ze moeten ervoor zorgen dat elke Amazon EC2-instance alleen AMI's gebruikt die door het DevOps-team zijn goedgekeurd en dat instances die zijn gestart vanuit niet-goedgekeurde AMI's automatisch worden hersteld. Individuele accountbeheerders mogen deze beperking niet kunnen verwijderen. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is om AWS Config organisatiebreed in te schakelen en een conformance pack te gebruiken. Een conformance pack kan centraal worden geïmplementeerd in alle accounts binnen een AWS Organization, wat zorgt voor consistentie en voorkomt dat individuele accountbeheerders de beperking omzeilen. De AWS Config managed rule approved-amis-by-id controleert op het gebruik van goedgekeurde AMI's. Door deze regel te configureren om het AWS-StopEC2Instance Systems Manager Automation runbook uit te voeren, worden niet-compatibele instances automatisch hersteld (gestopt). De andere opties zijn minder geschikt: Het implementeren van EventBridge-regels of Lambda-functies via StackSets biedt geen automatische herstelactie en vereist meer handmatige configuratie voor de herstelcomponent. Het gebruik van approved-amis-by-id via StackSets is een stap in de goede richting, maar een conformance pack is de aanbevolen methode voor organisatiebrede governance en automatische herstelacties met AWS Config.