Deweloperom zabroniono uruchamiania infrastruktury sieciowej VPC. Za każdym razem, gdy tworzona jest brama NAT, zespół ds. bezpieczeństwa sieci musi zostać natychmiast powiadomiony o jej zamknięciu. Rozwiązanie powinno być łatwe do wdrożenia na wielu kontach AWS, mieć minimalny narzut administracyjny i zapewniać dostępną historię zgodności. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź spełnia wszystkie wymagania. Niestandardowa reguła AWS Config może wykryć utworzenie bramy NAT. Następnie może uruchomić akcję naprawczą AWS Systems Manager Automation, aby wysłać powiadomienie e-mail i usunąć bramę NAT. AWS Config zapewnia historię zgodności, a wdrożenie na wielu kontach jest łatwe dzięki AWS CloudFormation StackSets, co minimalizuje narzut administracyjny. Pozostałe opcje są mniej efektywne: Skrypt na instancji EC2 wymaga zarządzania instancjami i zadaniami cron, co zwiększa narzut administracyjny i nie zapewnia wbudowanej historii zgodności. Funkcja AWS Lambda wymaga samodzielnego zarządzania historią zgodności i nie jest tak zintegrowana z kontrolą zasobów jak AWS Config. Amazon GuardDuty nie wykrywa bezpośrednio tworzenia bram NAT jako typu znaleziska, a jego użycie do tego celu byłoby obejściem, które nie zapewnia wbudowanej historii zgodności zasobów.