Om een taggingbeleid af te dwingen, moet een beheerder ervoor zorgen dat elke EC2-instance zonder een afdelingstag bijna onmiddellijk na aanmaak wordt beëindigd. Welke implementatie detecteert niet-conforme instances en beëindigt deze bijna in realtime?

De correcte optie is het opzetten van een AWS Config-regel met de beheerde regel required-tags. Deze regel controleert automatisch of EC2-instances de vereiste tags hebben. Wanneer een instance zonder de 'afdeling'-tag wordt gedetecteerd, kan AWS Config een automatische herstelactie activeren. Deze actie kan het AWS Systems Manager-automatiseringsdocument AWS-TerminateEC2Instance uitvoeren, waardoor de niet-conforme instance bijna onmiddellijk wordt beëindigd. Dit zorgt voor realtime afdwinging van het taggingbeleid. De andere opties zijn minder geschikt: Een EventBridge-regel die naar een SNS-topic stuurt, vereist handmatige of aanvullende geautomatiseerde stappen om de instance te beëindigen, wat niet bijna in realtime is. Het vereisen van ec2:CreateTags en ec2:DescribeTags machtigingen en het instellen van afsluitgedrag op beëindigen garandeert niet dat de tags daadwerkelijk worden toegepast bij het aanmaken, noch dat instances zonder tags automatisch worden beëindigd. AWS Systems Manager Compliance kan instances beheren, maar het AWS-StopEC2Instances document stopt de instances alleen, het beëindigt ze niet zoals vereist.