Компании необходимо обеспечить включение журналов потоков VPC (VPC flow logs) для всех текущих и будущих VPC в аккаунте. Управление VPC осуществляется с помощью стека CloudFormation, но пользователи могут создавать VPC напрямую. Какой подход обеспечивает применение журналов потоков для существующих и вновь созданных VPC любым пользователем IAM?

Правильный ответ — включить AWS Config с правилом и автоматическим исправлением. AWS Config позволяет непрерывно отслеживать конфигурации ресурсов AWS. Вы можете создать правило Config, которое проверяет наличие включенных журналов потоков VPC. Если правило обнаруживает несоответствие (т.е. журналы потоков не включены), автоматическое исправление может быть настроено для автоматического включения журналов потоков для затронутого VPC. Это гарантирует применение журналов как к существующим, так и к новым VPC, независимо от того, как они были созданы. Добавление ресурса AWS::EC2::FlowLog в шаблон CloudFormation не решит проблему для VPC, созданных вне CloudFormation или до изменения шаблона. Создание AWS Organization с SCP, запрещающим изменения журналов потоков, не обеспечит их включение, а лишь предотвратит их отключение. Политика IAM, запрещающая вызовы API, связанные с журналами потоков, не включает их, а скорее ограничивает управление ими.