Разработчикам запрещено запускать сетевую инфраструктуру VPC. Всякий раз, когда создается NAT gateway, группа сетевой безопасности должна быть немедленно оповещена для его удаления. Решение должно быть легко развертываемым в нескольких аккаунтах AWS, иметь минимальные накладные расходы на администрирование и предоставлять доступную историю соответствия требованиям. Какое решение удовлетворяет этим требованиям?

Правильный ответ — создание пользовательского правила AWS Config с действием по исправлению AWS Systems Manager Automation, развернутого с помощью AWS CloudFormation StackSets. AWS Config обеспечивает непрерывный мониторинг соответствия и историю изменений, что удовлетворяет требованию доступной истории соответствия. Действия Systems Manager Automation позволяют автоматически удалять NAT Gateway и отправлять уведомления. Развертывание через CloudFormation StackSets обеспечивает легкое развертывание в нескольких аккаунтах с минимальными административными накладными расходами. Остальные варианты менее оптимальны: Скрипт на EC2 требует управления инфраструктурой EC2 и RDS, что увеличивает накладные расходы. Lambda-функция с OpenSearch Service также увеличивает административные накладные расходы на управление OpenSearch. GuardDuty не предназначен для активного удаления ресурсов и требует дополнительной настройки EventBridge и Step Functions, что усложняет решение.