Fabrikam Health уже использует управляемое правило AWS Config restricted-ssh для обнаружения групп безопасности, разрешающих 0.0.0.0/0 на TCP/22. Они хотят автоматического устранения в течение одной минуты, которое удаляет нарушающее правило входящее соединение, как только правило сообщает о статусе NON_COMPLIANT. Какой подход является наиболее подходящим?

Правильный ответ предполагает использование EventBridge для реагирования на изменения соответствия AWS Config. Когда правило restricted-ssh обнаруживает несоответствие (NONCOMPLIANT), EventBridge запускает функцию Lambda. Эта функция Lambda затем использует RevokeSecurityGroupIngress для автоматического удаления нарушающего правила входящего соединения, обеспечивая устранение в течение одной минуты. Неправильные варианты: Создание пользовательского правила AWS Config, которое вызывает Lambda только при статусе COMPLIANT, не решит проблему автоматического устранения несоответствий. Запланированное правило EventBridge, запускаемое каждый час, не соответствует требованию устранения в течение одной минуты. AWS Firewall Manager может помочь в централизованном управлении, но не обеспечивает немедленное автоматическое устранение существующих несоответствий, как описано в сценарии, без дополнительной настройки и интеграции с другими службами для автоматического исправления.