Firma bankowa posiada aplikację, która musi docierać tylko do określonych publicznych adresów IP z VPC. Tabela routingu dla podsieci aplikacji ma trasy do tych publicznych adresów IP przez internet gateway. Inżynier potrzebuje alertów e-mail, gdy ktoś doda domyślną trasę w tabeli routingu tej podsieci, która wskazuje na internet gateway. Które rozwiązanie wymaga NAJMNIEJSZEGO wysiłku wdrożeniowego?

Prawidłowa odpowiedź to utworzenie reguły AWS Config z zarządzaną regułą no-unrestricted-route-to-igw. Ta reguła została zaprojektowana specjalnie do wykrywania tras domyślnych (0.0.0.0/0 lub ::/0) kierujących ruch do internet gateway. Po wykryciu niezgodności, AWS Config wyśle zdarzenie, które może być przechwycone przez Amazon EventBridge. EventBridge może następnie skierować to zdarzenie do tematu Amazon SNS, który wyśle powiadomienie e-mail. Jest to rozwiązanie zarządzane przez AWS, wymagające minimalnego wysiłku wdrożeniowego, ponieważ nie trzeba pisać ani utrzymywać kodu Lambda do monitorowania. Pierwsza opcja jest nieefektywna, ponieważ funkcja Lambda działająca co minutę generowałaby niepotrzebne koszty i złożoność. Druga opcja nie zadziała, ponieważ wywołanie API CreateRoute nie jest zdarzeniem, które automatycznie wywoła funkcję Lambda w sposób opisany; wymagałoby to bardziej złożonej integracji z CloudTrail i EventBridge. Trzecia opcja, internet-gateway-authorized-vpc-only, nie jest odpowiednią regułą do monitorowania tras domyślnych; służy do sprawdzania, czy internet gateway jest dołączony tylko do autoryzowanych VPC.