Firma wymaga, aby zespoły wewnętrzne udostępniały zasoby wyłącznie za pośrednictwem zatwierdzonych szablonów CloudFormation, a zespół ds. bezpieczeństwa potrzebuje zautomatyzowanego wykrywania, gdy zasoby odbiegają od ich oczekiwanego stanu. Jaka strategia spełnia oba wymagania z odpowiednim egzekwowaniem i zautomatyzowanym monitorowaniem?

Prawidłowa odpowiedź spełnia oba wymagania. AWS Service Catalog umożliwia zespołom udostępnianie zasobów wyłącznie za pośrednictwem zatwierdzonych szablonów, a ograniczenia uruchamiania (Launch Constraints) zapewniają, że użytkownicy nie mogą modyfikować parametrów szablonu ani używać niezatwierdzonych ról do wdrożenia. AWS Config Rules automatycznie wykrywają, gdy zasoby odbiegają od ich oczekiwanego stanu, zapewniając wymagane monitorowanie. Pierwsza opcja jest nieprawidłowa, ponieważ samo użycie roli usługi CloudFormation nie wymusza użycia zatwierdzonych szablonów ani nie zapobiega modyfikacjom. Wykrywanie dryfu CloudFormation jest przydatne, ale nie zapewnia pełnego egzekwowania. Druga opcja jest nieprawidłowa z tego samego powodu co pierwsza – rola usługi CloudFormation nie wymusza użycia zatwierdzonych szablonów. Czwarta opcja jest nieprawidłowa, ponieważ ograniczenie szablonu (Template Constraint) nie jest standardową funkcją AWS Service Catalog. Powiadomienia EventBridge mogą być używane do monitorowania, ale AWS Config Rules są bardziej odpowiednie do wykrywania dryfu konfiguracji.