Команда DevOps компании управляет несколькими аккаунтами AWS в организации AWS Organizations. Им необходимо убедиться, что каждый инстанс Amazon EC2 использует только те AMI, которые одобрены командой DevOps, и автоматически исправлять любые инстансы, запущенные из неодобренных AMI. Индивидуальные администраторы аккаунтов не должны иметь возможность снять это ограничение. Какое решение соответствует этим требованиям?

Правильный ответ — это централизованное и автоматизированное решение, которое соответствует всем требованиям. Включение AWS Config для всей организации позволяет применять правила соответствия на уровне организации. Пакеты соответствия обеспечивают стандартизированный способ развертывания набора правил AWS Config и действий по исправлению во всех аккаунтах организации. Управляемое правило approved-amis-by-id специально предназначено для проверки AMI. Интеграция с AWS Systems Manager Automation для запуска ранбука AWS-StopEC2Instance обеспечивает автоматическое исправление, останавливая несоответствующие инстансы. Это решение также предотвращает обход ограничений администраторами отдельных аккаунтов, поскольку правила применяются на уровне организации. Другие варианты не обеспечивают централизованное применение или автоматическое исправление на уровне организации. Развертывание EventBridge или Lambda-функций через StackSets требует больше ручной настройки для каждого аккаунта и не обеспечивает автоматического исправления. Уведомления SNS информируют, но не исправляют.