Audyt bezpieczeństwa wykrył kilka niezaszyfrowanych woluminów Amazon EBS podłączonych do tysięcy instancji EC2 na koncie firmowym. Polityka firmy nakazuje szyfrowanie woluminów EBS. Firma potrzebuje zautomatyzowanego rozwiązania, aby zaszyfrować istniejące niezaszyfrowane woluminy i zapobiec tworzeniu niezaszyfrowanych woluminów przez zespoły deweloperskie. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź spełnia oba wymagania: wykrywanie i naprawę istniejących woluminów oraz zapobieganie tworzeniu nowych niezaszyfrowanych woluminów. Reguła AWS Config z automatyczną akcją naprawczą, wykorzystującą runbook AWS Systems Manager Automation, jest idealna do identyfikacji i szyfrowania istniejących woluminów EBS. Runbook może tworzyć zaszyfrowane kopie, a następnie zastępować nimi oryginalne woluminy. Modyfikacja ustawienia konta AWS dla szyfrowania EBS, aby zawsze szyfrować nowe woluminy, automatycznie wymusza szyfrowanie dla wszystkich nowych woluminów tworzonych na koncie, skutecznie zapobiegając niezgodności. Pozostałe opcje są nieprawidłowe, ponieważ: Opcja 1: Klucz zarządzany przez klienta AWS KMS nie może zapobiec tworzeniu niezaszyfrowanych woluminów EBS. Opcja 2 i 3: AWS Systems Manager Fleet Manager służy do zarządzania flotą instancji, a nie do wykrywania niezaszyfrowanych woluminów EBS w kontekście zgodności. SCP (Service Control Policy) może zapobiec tworzeniu niezaszyfrowanych woluminów, ale nie jest to najbardziej granularne i proste rozwiązanie w tym przypadku w porównaniu do ustawień konta EBS.