Firma zarządza swoją infrastrukturą na jednym koncie AWS. Trzech inżynierów administruje i rozwija to konto. Czasami jeden inżynier modyfikuje grupę bezpieczeństwa EC2 innego inżyniera i wprowadza niezgodne ustawienia bezpieczeństwa. Architekt rozwiązań musi wdrożyć system, który rejestruje zmiany wprowadzone przez inżynierów i wysyła alerty, gdy ustawienia grupy bezpieczeństwa EC2 stają się niezgodne. Jaki jest NAJSZYBSZY sposób, aby to osiągnąć?

Prawidłowa odpowiedź to włączenie AWS Config dla grup bezpieczeństwa EC2. AWS Config jest usługą zaprojektowaną do oceny, audytu i monitorowania konfiguracji zasobów AWS. Może wykrywać niezgodne zmiany w grupach bezpieczeństwa EC2 i rejestrować je, a następnie wysyłać powiadomienia za pośrednictwem Amazon SNS, co jest najszybszym i najbardziej bezpośrednim sposobem na spełnienie wymagań. Nieprawidłowe opcje: AWS Organizations i SCPs służą do zarządzania uprawnieniami na poziomie konta lub jednostki organizacyjnej, a nie do monitorowania zmian konfiguracji poszczególnych zasobów ani wysyłania alertów o niezgodnościach. Włączenie CloudTrail i CloudWatch Events wymagałoby ręcznego tworzenia złożonych reguł do identyfikacji niezgodnych ustawień, co jest bardziej czasochłonne i mniej efektywne niż użycie AWS Config, który jest do tego przeznaczony. Samo włączenie SCPs nie zapewnia mechanizmu alertowania o niezgodnych zmianach, a jedynie kontroluje uprawnienia.