Firma używa infrastruktury jako kodu (IaC) z szablonami AWS CloudFormation i istniejącym potokiem CI/CD do wdrażania zasobów AWS. Po audycie bezpieczeństwa firma chce wymusić politykę jako kod, aby zapobiec wdrażaniu niezgodnych zasobów (na przykład niezaszyfrowanego woluminu Amazon EBS). Które rozwiązanie spełni ten wymóg?

Prawidłowa odpowiedź to utworzenie zestawów reguł za pomocą AWS CloudFormation Guard i uruchomienie walidacji szablonów jako etapu w potoku CI/CD. AWS CloudFormation Guard to narzędzie typu "polityka jako kod", które umożliwia definiowanie reguł sprawdzających zgodność szablonów CloudFormation przed ich wdrożeniem. Integracja tego narzędzia z potokiem CI/CD pozwala na automatyczne blokowanie niezgodnych zasobów na wczesnym etapie, zapobiegając ich wdrożeniu. Włączenie AWS Trusted Advisor nie jest wystarczające, ponieważ Trusted Advisor identyfikuje istniejące problemy, ale nie zapobiega wdrożeniu niezgodnych zasobów. AWS Config z regułami jest skutecznym narzędziem do monitorowania zgodności po wdrożeniu, ale nie blokuje wdrożeń niezgodnych zasobów w potoku CI/CD. Tworzenie zestawów reguł jako service control policies (SCPs) jest użyteczne do egzekwowania polityk na poziomie konta lub jednostki organizacyjnej, ale nie jest przeznaczone do walidacji szablonów CloudFormation w potoku CI/CD przed wdrożeniem.