Компания устанавливает правило, согласно которому ни одна группа безопасности не должна разрешать SSH из 0.0.0.0/0. Администратор SysOps должен реализовать решение, которое оповещает команду эксплуатации, когда группа безопасности нарушает это правило, и автоматически устраняет нарушающее правило. Какой дизайн удовлетворяет обоим требованиям?

Правильный ответ использует AWS Config, который предназначен для оценки соответствия ресурсов AWS. Управляемое правило restricted-ssh специально проверяет наличие правил безопасности, разрешающих SSH из 0.0.0.0/0. Прикрепление автоматического исправления с помощью AWS Systems Manager Automation AWS-DisablePublicAccessForSecurityGroup позволяет автоматически удалять нарушающие правила. EventBridge может быть настроен для уведомления команды SysOps, когда правило Config становится несоответствующим, обеспечивая выполнение обоих требований: оповещение и автоматическое исправление. Другие варианты менее эффективны: Создание правила EventBridge, вызывающего Lambda при каждом изменении группы безопасности, требует написания и поддержки пользовательского кода для проверки и исправления, что сложнее, чем использование управляемого правила Config. Удаление всех входящих правил некорректно. Использование фильтра метрик CloudTrail с CloudWatch и Lambda для исправления требует больше ручной настройки и не использует встроенные возможности Config для оценки соответствия. Прикрепление действия Systems Manager Automation непосредственно к сигнализации CloudWatch не обеспечивает такой же уровень оценки соответствия, как AWS Config, и может быть менее гибким для сложных политик.