Je beheert honderden EC2-instanties in één regio binnen één AWS-account. Nieuwe instanties worden elk uur gestart en beëindigd; sommige bestaande instanties draaien al meer dan een week. Het bedrijfsbeleid schrijft voor dat elke draaiende EC2-instantie een gekoppeld instance profile moet hebben. Er is een standaard instance profile dat moet worden gekoppeld aan elke instantie die geen profiel heeft. Welke aanpak dwingt deze vereiste af?

De correcte aanpak is het inschakelen van AWS Config met de beheerde regel ec2-instance-profile-attached. Deze regel controleert continu of EC2-instanties een gekoppeld instance profile hebben. Wanneer een instantie geen profiel heeft, detecteert AWS Config dit als non-compliant. Door automatische herstelacties te configureren, kan een AWS Systems Manager Automation runbook worden aangeroepen om het standaard instance profile te koppelen aan de instanties die een profiel missen. Dit zorgt voor continue naleving, zowel voor nieuwe als bestaande instanties. De eerste optie met EventBridge en een Lambda-functie is minder effectief omdat deze alleen reageert op RunInstances API-aanroepen en niet op bestaande instanties die mogelijk geen profiel hebben. De derde optie met EventBridge en StartInstances API-aanroepen is onjuist omdat StartInstances instanties start die al bestaan, terwijl RunInstances nieuwe instanties creëert; bovendien mist deze optie de controle op bestaande instanties. De vierde optie met iam-role-managed-policy-check is de verkeerde AWS Config-regel, aangezien deze controleert op beheerde beleidsregels op IAM-rollen en niet op de aanwezigheid van een instance profile op een EC2-instantie.