Deweloperzy mogą uruchamiać instancje EC2 tylko z zatwierdzonego zestawu AMI, ale niektórzy nadal uruchamiają instancje z niezatwierdzonych obrazów. Zespół operacyjny potrzebuje zautomatyzowanego sposobu wykrywania i kończenia każdej instancji EC2 uruchomionej z AMI, która nie znajduje się na zatwierdzonej liście. Które podejście spełnia ten wymóg?

Poprawna odpowiedź to utworzenie zarządzanej reguły AWS Config. AWS Config umożliwia ocenę, audyt i monitorowanie konfiguracji zasobów AWS, a zarządzane reguły są gotowymi do użycia regułami zgodności. W tym przypadku reguła może sprawdzać, czy instancje EC2 są uruchamiane z zatwierdzonych AMI. Funkcja automatycznej naprawy w AWS Config może następnie wywołać runbook AWS Systems Manager Automation, aby zakończyć niezgodne instancje, co zapewnia automatyzację i zgodność. Pozostałe opcje są mniej odpowiednie: Przechowywanie zatwierdzonych AMI w DynamoDB i używanie szablonów uruchamiania EC2 nie zapewnia automatycznego wykrywania i kończenia już uruchomionych niezgodnych instancji. Szablony uruchamiania służą do definiowania parametrów uruchamiania, a nie do egzekwowania zgodności po uruchomieniu. Metryki CloudWatch monitorują dane operacyjne, ale nie oferują wbudowanej funkcji do porównywania AMI z zatwierdzoną listą ani bezpośredniego kończenia instancji w oparciu o taką logikę. Amazon Inspector koncentruje się na ocenie luk w zabezpieczeniach i niezgodnościach z najlepszymi praktykami, a nie na egzekwowaniu zasad dotyczących dozwolonych AMI. Chociaż można by stworzyć niestandardowe rozwiązanie z Lambda, jest to bardziej złożone niż użycie wbudowanych możliwości AWS Config.