Компания использует инфраструктуру как код (IaC) с шаблонами AWS CloudFormation и существующий конвейер CI/CD для развертывания ресурсов AWS. После аудита безопасности компания хочет внедрить политику как код, чтобы предотвратить развертывание несоответствующих ресурсов (например, незашифрованного тома Amazon EBS). Какое решение удовлетворит это требование?

AWS CloudFormation Guard — это язык политик с открытым исходным кодом, который позволяет определять правила для проверки шаблонов CloudFormation на соответствие требованиям безопасности и соответствия. Интеграция CloudFormation Guard в конвейер CI/CD в качестве этапа проверки шаблонов позволяет автоматически обнаруживать и предотвращать развертывание несоответствующих ресурсов (например, незашифрованных томов EBS) до их создания в AWS. Это соответствует концепции "политика как код". Остальные варианты не подходят: AWS Trusted Advisor предоставляет рекомендации по оптимизации, но не предотвращает развертывание несоответствующих ресурсов в реальном времени в конвейере CI/CD. AWS Config оценивает уже развернутые ресурсы, а не предотвращает их развертывание. Хотя он может уведомлять о несоответствиях, он не блокирует развертывание на этапе CI/CD. SCPs (Политики управления сервисами) применяются на уровне учетной записи или организации и контролируют разрешения, но не проверяют содержимое шаблонов CloudFormation на соответствие конкретным требованиям безопасности до развертывания.