Firma egzekwuje zasadę, że żadna grupa bezpieczeństwa nie powinna zezwalać na SSH z 0.0.0.0/0. Administrator SysOps musi wdrożyć rozwiązanie, które powiadamia zespół operacyjny, gdy grupa bezpieczeństwa naruszy tę zasadę, i musi automatycznie naprawić naruszającą regułę. Który projekt spełnia oba wymagania?

Prawidłowa odpowiedź spełnia oba wymagania: powiadamianie i automatyczne naprawianie. Reguła zarządzana AWS Config restricted-ssh jest specjalnie zaprojektowana do wykrywania grup bezpieczeństwa zezwalających na SSH z 0.0.0.0/0. Dołączenie automatycznej naprawy za pomocą runbooka Systems Manager Automation AWS-DisablePublicAccessForSecurityGroup automatycznie usuwa niezgodne reguły. Dodatkowo, reguła EventBridge może być skonfigurowana do powiadamiania zespołu operacyjnego za każdym razem, gdy reguła Config wykryje niezgodność. Pozostałe opcje są mniej efektywne lub niekompletne. Opcja z EventBridge i Lambda wymagałaby samodzielnego pisania logiki walidacji i naprawy, co jest mniej optymalne niż użycie gotowych rozwiązań AWS. Opcje z CloudTrail i CloudWatch mogą wykrywać zmiany, ale automatyczna naprawa i powiadamianie są lepiej realizowane przez AWS Config i EventBridge w tym konkretnym scenariuszu.