Zespół DevOps firmy zarządza wieloma kontami AWS w ramach organizacji AWS Organizations. Muszą zapewnić, że każda instancja Amazon EC2 używa wyłącznie zatwierdzonych przez zespół DevOps obrazów AMI oraz automatycznie naprawiać wszelkie instancje uruchomione z niezatwierdzonych obrazów AMI. Administratorzy poszczególnych kont nie mogą usuwać tego ograniczenia. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź spełnia wszystkie wymagania. Włączenie AWS Config w całej organizacji i wdrożenie pakietu zgodności z zarządzaną regułą approved-amis-by-id zapewnia centralne zarządzanie i egzekwowanie polityki zatwierdzonych AMI na wszystkich kontach. Skonfigurowanie reguły do automatycznego uruchamiania runbooka AWS Systems Manager Automation AWS-StopEC2Instance dla niezgodnych instancji EC2 automatycznie naprawia problem. Pakiety zgodności wdrożone w całej organizacji nie mogą być usuwane przez administratorów poszczególnych kont, co spełnia wymaganie niezmienności. Pozostałe opcje są nieprawidłowe, ponieważ: Opcja z AWS CloudFormation StackSets i Amazon EventBridge tylko powiadamia, ale nie naprawia automatycznie niezgodnych instancji. Opcja z AWS CloudFormation StackSets i zarządzaną regułą AWS Config jest lepsza, ale wdrożenie pakietu zgodności na poziomie organizacji jest bardziej efektywne i odporne na zmiany przez administratorów kont. Opcja z funkcją AWS Lambda i EventBridge wymagałaby ręcznego wdrożenia na każdym koncie i nie zapewnia centralnego zarządzania ani odporności na zmiany przez administratorów kont w takim stopniu jak pakiety zgodności w AWS Config.