Организация использует AWS Organizations для управления несколькими аккаунтами. Политика безопасности требует помечать все незашифрованные тома Amazon EBS как несоответствующие требованиям. Инженер DevOps должен развернуть автоматизированную, постоянно действующую проверку соответствия. Какой подход позволит это сделать?

Правильный ответ — создание организационного правила AWS Config. AWS Config позволяет непрерывно отслеживать соответствие ресурсов заданным правилам, а организационные правила распространяют эту проверку на все аккаунты в AWS Organizations. Это обеспечивает автоматизированную и постоянно действующую проверку. Применение SCP для запрета остановки или удаления AWS Config гарантирует, что механизм проверки останется активным и не будет случайно или злонамеренно отключен. Остальные варианты менее эффективны: Использование AWS Inspector не подходит, так как он предназначен для оценки уязвимостей, а не для проверки конфигурации ресурсов на соответствие политикам. CloudFormation также не является инструментом для непрерывной проверки. SCP может предотвратить создание незашифрованных томов, но не выявляет уже существующие несоответствующие ресурсы и не предоставляет отчетность о соответствии. Анализ CloudTrail через Athena — это реактивный, а не проактивный подход. Развертывание роли IAM и конвейера CodePipeline с Lambda для перечисления томов EBS — это сложный и дорогостоящий подход для решения задачи, которую AWS Config выполняет нативно и более эффективно.