Musisz wymusić szyfrowanie po stronie serwera dla wszystkich woluminów EBS i kolejek SQS tworzonych lub aktualizowanych przez stosy CloudFormation na wszystkich kontach w określonej jednostce organizacyjnej (OU), a wymuszenie musi nastąpić przed operacjami stosu CloudFormation. Które rozwiązanie wymusi to w całej jednostce organizacyjnej?

Prawidłowa odpowiedź to włączenie zaufanego dostępu dla CloudFormation StackSets, utworzenie CloudFormation Hook wymuszającego szyfrowanie po stronie serwera dla woluminów EBS i kolejek SQS, a następnie wdrożenie tego Hooka na kontach OU za pomocą StackSets. CloudFormation Hooks umożliwiają walidację i modyfikację zasobów przed ich utworzeniem lub aktualizacją, co spełnia wymóg wymuszenia przed operacjami stosu. Wdrożenie za pomocą StackSets zapewnia spójne zastosowanie w całej jednostce organizacyjnej. Pozostałe opcje są mniej odpowiednie: AWS Config działa po utworzeniu zasobu i nie wymusza szyfrowania przed operacją stosu. SCP (Service Control Policies) mogą blokować tworzenie zasobów niespełniających wymagań, ale nie modyfikują ich automatycznie, aby spełniały wymogi szyfrowania. Funkcja Lambda działająca po fakcie również nie spełnia wymogu wymuszenia przed operacją stosu.