Orbital Commerce moet ervoor zorgen dat elke VPC in alle lidaccounts en regio's van zijn AWS Organization ten minste één VPC Flow Log heeft ingeschakeld, en ze willen dat niet-compatibele VPC's automatisch worden hersteld. Een centraal beveiligingsteam heeft ook een organisatiebrede compliance-weergave nodig. Wat is de BESTE oplossing?

De correcte optie is de beste oplossing omdat deze alle vereisten omvat: het aanwijzen van een AWS Config gedelegeerd beheerdersaccount maakt gecentraliseerd beheer mogelijk. De AWS Config managed rule vpc-flow-logs-enabled als organisatieregel zorgt voor organisatiebrede compliance en de automatische herstelactie via een Systems Manager Automation runbook herstelt niet-compatibele VPC's automatisch. Ten slotte biedt een organisatie-aggregator in het gedelegeerde beheerdersaccount een centrale compliance-weergave over alle accounts en regio's. De andere opties zijn minder geschikt: Security Hub biedt wel compliance-inzicht, maar de automatiseringsregels zijn minder robuust voor het afdwingen van specifieke configuraties zoals Flow Logs over de hele organisatie met automatische herstelacties zoals AWS Config. CloudWatch Logs en Lambda zijn te complex en reactief voor deze schaal en vereisen aanzienlijk meer maatwerk voor detectie en herstel dan AWS Config. CloudFormation StackSets zijn goed voor implementatie, maar minder effectief voor continue compliance-monitoring en automatische herstel van afwijkingen dan AWS Config. Periodiek opnieuw uitvoeren is geen continue bewaking.