Компания требует, чтобы внутренние команды выделяли ресурсы только с помощью утвержденных шаблонов CloudFormation, а команде безопасности необходимо автоматическое обнаружение отклонений ресурсов от их ожидаемого состояния. Какая стратегия удовлетворяет обоим требованиям с соответствующим принудительным применением и автоматическим мониторингом?

AWS Service Catalog позволяет централизованно управлять утвержденными шаблонами CloudFormation, обеспечивая их использование внутренними командами. Ограничения запуска (Launch Constraints) гарантируют, что ресурсы развертываются с использованием заранее определенных ролей IAM, что повышает безопасность и соответствие требованиям. AWS Config Rules автоматически отслеживает конфигурации ресурсов и обнаруживает любые отклонения от ожидаемого состояния, что соответствует требованию команды безопасности. Первый вариант неверен, потому что CloudFormation Drift Detection обнаруживает только изменения, внесенные вне CloudFormation, но не обеспечивает принудительное использование утвержденных шаблонов и не отслеживает отклонения от желаемых конфигураций, которые могут быть не связаны с шаблоном. Второй вариант также не обеспечивает принудительное использование утвержденных шаблонов. Четвертый вариант неверен, так как ограничение шаблона (Template Constraint) не является стандартным механизмом Service Catalog, а уведомления EventBridge сами по себе не обеспечивают автоматического обнаружения дрейфа конфигурации.