Ontwikkelaars mogen EC2-instances alleen starten vanuit een goedgekeurde set AMI's, maar sommigen starten nog steeds instances vanuit niet-goedgekeurde images. Het operations-team heeft een geautomatiseerde manier nodig om elke EC2-instance te detecteren en te beëindigen die is gestart vanuit een AMI die niet op de goedgekeurde lijst staat. Welke aanpak voldoet aan deze vereiste?

De juiste aanpak is het maken van een AWS Config managed rule. Deze regel kan automatisch controleren of EC2-instances zijn gestart vanuit een goedgekeurde AMI-lijst. Wanneer een niet-compliant instance wordt gedetecteerd, kan AWS Config een automatische herstelactie uitvoeren door een AWS Systems Manager Automation runbook te starten. Dit runbook kan vervolgens de niet-compliant instance beëindigen, wat zorgt voor een geautomatiseerde en efficiënte oplossing. De andere opties zijn minder geschikt: DynamoDB en EC2 launch templates: Launch templates zijn voor het starten van instances, niet voor het detecteren en beëindigen van reeds draaiende, niet-compliant instances. CloudWatch metric en alarm: CloudWatch metrics zijn voornamelijk voor het monitoren van prestaties en gebruik, niet voor gedetailleerde configuratiecontroles zoals AMI-compliance. Het beëindigen van instances direct via een alarm is ook niet de meest robuuste of flexibele methode voor dit soort beleidshandhaving. Amazon Inspector: Inspector is gericht op beveiligingsbeoordelingen en kwetsbaarheden, niet op het afdwingen van AMI-beleid voor het starten van instances. Hoewel het findings kan genereren, is het niet de primaire tool voor deze specifieke use case van configuratiecompliance en automatische herstelacties.