Firma korzysta z AWS Organizations i wdrożyła landing zone za pomocą AWS Control Tower. Firma potrzebuje zarządzania, aby wykrywać instancje baz danych Amazon RDS, które nie są zaszyfrowane w spoczynku w jednostce organizacyjnej (OU) produkcyjnej. Które rozwiązanie spełnia ten wymóg?

Prawidłowa odpowiedź to włączenie odpowiedniego silnie zalecanego guardraila AWS Control Tower i zastosowanie go do jednostki organizacyjnej produkcyjnej. AWS Control Tower oferuje zestaw gotowych guardraili, w tym te, które wykrywają niezaszyfrowane instancje Amazon RDS. Te guardraile są zaprojektowane do egzekwowania najlepszych praktyk bezpieczeństwa i są łatwe do wdrożenia. Opcja włączenia obowiązkowych guardraili jest nieprawidłowa, ponieważ obowiązkowe guardraile są zawsze włączone i nie można ich wyłączyć, a problem dotyczy wykrywania, a nie blokowania. Tworzenie nowego obowiązkowego guardraila za pomocą AWS Config jest niepotrzebne, ponieważ Control Tower już oferuje odpowiedni guardrail. Tworzenie niestandardowej polityki kontroli usług (SCP) jest również niepotrzebne, ponieważ SCP służą do zapobiegania działaniom, a nie do wykrywania niezgodności, a Control Tower zapewnia już rozwiązanie do wykrywania.